UPDATE: DFN-CERT-2014-0334 Mozilla: Mehrere Schwachstellen ermöglichen das Ausführen beliebigen Programmcodes [Linux][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (19.03.2014):
Ubuntu stellt für die Distributionen 12.04 LTS, 12.10 und 13.10 neue
Pakete bereit, welche alle referenzierten Mozilla-Schwachstellen bis auf
CVE-2014-1496 adressieren.
Version 1 (19.03.2014):
Neues Advisory

Betroffene Software:

Mozilla Firefox <= 27.0 Mozilla Firefox ESR <= 24.3 Mozilla SeaMonkey <= 2.24 Mozilla Thunderbird <= 24.3 Betroffene Plattformen: Apple Mac OS X Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 12.10 Canonical Ubuntu Linux 13.10 GNU/Linux Microsoft Windows Mehrere Schwachstellen erlauben in den meisten Fällen einem entfernten, nicht authentisierten Angreifer beliebigen Programmcode mit den Rechten des Benutzers bzw. der Anwendung zur Ausführung bringen oder die Anwendung zum Absturz zu bringen. Eine Schwachstelle erlaubt einem lokal angemeldeten Benutzer höhere Privilegien zu erlangen. Patch: Mozilla Foundation Security Advisory 2014-16 http://www.mozilla.org/security/announce/2014/mfsa2014-16.html

Patch:

Mozilla Foundation Security Advisory 2014-29

http://www.mozilla.org/security/announce/2014/mfsa2014-29.html

Patch:

Mozilla Foundation Security Advisory 2014-15

http://www.mozilla.org/security/announce/2014/mfsa2014-15.html

Patch:

Mozilla Foundation Security Advisory 2014-17

http://www.mozilla.org/security/announce/2014/mfsa2014-17.html

Patch:

Mozilla Foundation Security Advisory 2014-28

http://www.mozilla.org/security/announce/2014/mfsa2014-28.html

Patch:

Mozilla Foundation Security Advisory 2014-26

http://www.mozilla.org/security/announce/2014/mfsa2014-26.html

Patch:

Mozilla Foundation Security Advisory 2014-18

http://www.mozilla.org/security/announce/2014/mfsa2014-18.html

Patch:

Mozilla Foundation Security Advisory 2014-19

http://www.mozilla.org/security/announce/2014/mfsa2014-19.html

Patch:

Mozilla Foundation Security Advisory 2014-20

http://www.mozilla.org/security/announce/2014/mfsa2014-20.html

Patch:

Mozilla Foundation Security Advisory 2014-22

http://www.mozilla.org/security/announce/2014/mfsa2014-22.html

Patch:

Mozilla Foundation Security Advisory 2014-23

http://www.mozilla.org/security/announce/2014/mfsa2014-23.html

Patch:

Mozilla Foundation Security Advisory 2014-27

http://www.mozilla.org/security/announce/2014/mfsa2014-27.html

Patch:

Mozilla Foundation Security Advisory 2014-30

http://www.mozilla.org/security/announce/2014/mfsa2014-30.html

Patch:

Mozilla Foundation Security Advisory 2014-31

http://www.mozilla.org/security/announce/2014/mfsa2014-31.html

Patch:

Mozilla Foundation Security Advisory 2014-32

http://www.mozilla.org/security/announce/2014/mfsa2014-32.html

Patch:

Ubuntu Security Notice USN-2150-1

http://www.ubuntu.com/usn/usn-2150-1/

CVE-2014-1514: Out-of-bounds-Schwachstelle in TypedArrayObject

Eine Schwachstelle in “vmtypedarrayobject.cpp” in Mozilla Firefox, Firefox
ESR, Thunderbird und SeaMonkey überprüft nicht korrekt die Länge eines
Zielfeldes vor einem Kopiervorgang. Diese Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, um durch
Triggern einer inkorrekten Verwendung der TypedArrayObject-Klasse beliebigen
Programmcode mit den Rechten des Benutzers zur Ausführung zu bringen oder
die Anwendung zum Absturz zu bringen.

CVE-2014-1513: Out-of-bounds-Schwachstelle in TypedArrayObject

Eine Schwachstelle in “TypedArrayObject.cpp” in Mozilla Firefox, Firefox
ESR, Thunderbird und SeaMonkey verhindert nicht korrekt eine
Nulllängen-Übergabe für ein “ArrayBuffer”-Objekt. Diese Schwachstelle kann
von einem entfernten, nicht authentisierten Angreifer ausgenutzt werden, um
mittels einer präparierten Webseite beliebigen Programmcode mit den Rechten
des Benutzers zur Ausführung zu bringen oder die Anwendung zum Absturz zu
bringen.

CVE-2014-1512: Use-after-free-Schwachstelle in Mozilla-Produkten

Eine Use-after-free-Schwachstelle existiert in der TypeObject-Klasse in der
JavaScript “Engine” in Mozilla Firefox, Firefox ESR, Thunderbird und
SeaMonkey, welche bei hoher Speicherauslastung während des Müllsammelns,
unter bestimmten Umständen, zu einer Speicherkorruption führen kann. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebigen Programmcode mit Benutzerrechten zur Ausführung
bringen oder die Anwendung zum Absturz zu bringen (Denial-of-Service).

CVE-2014-1511: Umgehung des Popup-Blockers in Mozilla Produkten

In verschiedenen Mozilla-Anwendungen kann der Popup-Blocker umgangen werden,
ohne dass eine Benutzerinteraktion notwendig ist. In Verbindung mit der
Schwachstelle CVE-2014-1510 kann ein entfernter, nicht authentifizierter
Angreifer diese Schwachstelle ausnutzen, um eine Javascript URL zu laden,
die mit den rechten des Browsers ausgeführt wird und damit beliebigen Code
zur Ausführung bringen kann.

CVE-2014-1510: Schwachstelle in WebIDL

Eine Schwachstelle besteht in der WebIDL-Implementierung in Mozilla Firefox,
Firefox ESR, Thunderbird und SeaMonkey, die es ermöglicht, dass nicht
vertrauenswürdige Webinhalte in eine chrome-privilegierte Seite geladen
werden können, wenn man eine JavaScript-implementierte WebIDL dazu bringt,
den Befehl “window.open()” aufzurufen. Ein entfernter, nicht authentisierter
Angreifer kann beliebigen JavaScript-Code mit Chrome-Privilegien zur
Ausführung bringen, indem er durch IDL-Fragmente ein “window.open” aufruft.

CVE-2014-1509: Speicherüberlauf-Schwachstelle in Cairo

Eine Schwachstelle in der Funktion “_cairo_truetype_index_to_ucs4” in der
Cairo Grafikbibliothek, wie verwendet in Mozilla Firefox, Firefox ESR,
Thunderbird und SeaMonkey, besteht für das Rendering von PDF-Dateien bei der
Darstellung. Ein entfernter, nicht authentisierter Angreifer kann mittels
einer präparierten Erweiterung, welche Fonts in einem PDF-Dokument zur
Darstellung bringt, beliebigen Programmcode mit den Rechten des Benutzers
zur Ausführung oder Firefox zum Absturz bringen (Denial-of-Service).

CVE-2014-1508: Out-of-bounds-read-Schwachstelle in
libxul.so!gfxContext::Polygon

Eine Schwachstelle ermöglicht das Lesen außerhalb von Begrenzungen während
des Polygon-Renderings in MathML. Diese Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, um
vertrauliche Informationen über Domaingrenzen hinweg auszulesen.

CVE-2014-1505: Schwachstelle in feDisplacementMap

Eine Schwachstelle besteht in einem Mechanismus, welcher Timing-Angriffe auf
SVG Filter durch entsprechenden Input an feDisplacementMap ermöglicht. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen, um über Domaingrenzen hinweg an vertrauliche Informationen zu
gelangen.

CVE-2014-1504: Content-Security-Policy Schwachstelle

Bei der Wiederherstellung von Sitzungen (Sessions) in Mozilla Firefox und
SeaMonkey wird die “Content Security Policy” (CSP) einer “data: URL” nicht
berücksichtigt, Dokumente werden bei der Wiederherstellung nicht gesichert.
Wenn es einem entfernten, nicht authentisierten Angreifer gelingt, einen
Benutzer dazu zu bringen, nach einem Browser-Absturz ein präpariertes
Dokument von einer “data: URL” zu öffnen, welche in eine Webseite
eingeschleust wurde, erlaubt dies dem Angreifer einen Cross-Site Scripting
(XSS)-Angriff durchführen.

CVE-2014-1502: Schwachstelle erlaubt WebGL-Inhaltsinjektion

Die Funktionen (1) WebGL.compressedTexImage2D und (2)
WebGL.compressedTexSubImage2D in Mozilla Firefox und SeaMonkey erlauben die
“Same Origin” Policy zu umgehen. Diese Schwachstelle ermöglicht es, von
einer schädlichen Webseite mit WebGL-Inhalten, solche Inhalte aus deren
Kontext in den Kontext von WebGL-Inhalten einer anderen Webseite
einzuschleusen und dadurch Texturen und ähnliche Inhalte auszutauschen. Ein
entfernter, nicht authentisierter Angreifer kann diese Schwachstelle
ausnutzen und beliebige Inhalte innerhalb dieser begrenzten
Rahmenbedingungen darzustellen.

CVE-2014-1500: Schwachstelle in JavaScript ermöglicht Denial-of-Service

Eine Schwachstelle in Mozilla Firefox und SeaMonkey kann bei Ausführung von
JavaScript in Verbindung mit ‘onbeforeunload’ Ereignissen das Schließen von
schädlichen Seiten-Tabs verhindern. Dies führt zu hohem Ressourcenbrauch und
der Browser reagiert nicht mehr. Diese Schwachstelle erlaubt es einem
entfernten, nicht authentisierten Angreifer einen Denial-of-Service-Zustand
herbeizuführen.

CVE-2014-1499: Schwachstelle in WebRTC ermöglicht Spoofing

Eine Schwachstelle besteht bei Erzeugung des Permission Prompts während
einer WebRTC Session. Diese Schwachstelle ermöglicht Spoofing-Angriffe der
Art, dass der Permission Prompt von einer anderen Webseite zu kommen
scheint, als dies tatsächlich der Fall ist. Dies ermöglicht einem
entfernten, nicht authentisierten Angreifer durch Maskierung als eine andere
Webseite (Spoofing), Benutzerrechte und dadurch Zugriff auf die Webcam oder
das Mikrofon zu erlangen.

CVE-2014-1498: Schwachstelle in crypto.generateCRMFRequest

Eine Schwachstelle in crypto.generateCRMFRequest besteht darin, dass
nsConvertToActualKeyGenParams beim Erzeugen eines ‘ec-dual-use’-Requests den
Union in einem SECKEYPublicKey verwendet, ohne korrekt den Schlüsseltyp zu
prüfen. Diese Schwachstelle kann von einem entfernten, nicht authentisierten
Angreifer ausgenutzt werden, um die Anwendung zum Absturz zu bringen
(Denial-of-Service).

CVE-2014-1497: Out-of-bounds-read-Schwachstelle in der WAV-Datei Dekodierung

Die Schwachstelle ermöglicht das Lesen außerhalb von Begrenzungen während
der Dekodierung von WAV-Dateien. Die Schwachstelle kann von einem
entfernten, nicht authentisierten Angreifer ausgenutzt werden, um sensitive
Informationen auszulesen oder Firefox zum Absturz zu bringen
(Denial-of-Service).

CVE-2014-1496: Schwachstelle in Mozilla-Produkten ermöglicht
Privilegieneskalation

Eine Schwachstelle in Mozilla Firefox, Firefox ESR 24.x, Thunderbird und
SeaMonkey besteht darin, dass Dateien nicht immer als “read-only”
gekennzeichnet werden, wenn Inhalte extrahiert werden. Diese Schwachstelle
erlaubt einem lokal angemeldeten Benutzer während eines Updates durch eine
Modifikation des extrahierten Mar-Inhaltes höhere Privilegien zu erlangen.

CVE-2014-1494: Memory Safety-Fehler in Mozilla-Produkten

Eine Schwachstelle in der Browser Engine, die in Firefox und anderen
Mozilla-Produkten verwendet wird, besteht in einer unsicheren Verwaltung von
Random Access Memory (RAM). Dies kann unter bestimmten Bedingungen zu einer
Speicherkorruption führen. Ein entfernter, nicht authentisierter Angreifer
kann, wenn er einen Benutzer dazu bringt, eine speziell präparierte Webseite
aufzurufen, unter Ausnutzung dieser Schwachstelle beliebigen Programmcode
mit den Rechten des Benutzers zur Ausführung bringen.

CVE-2014-1493: Memory Safety-Fehler in Mozilla-Produkten

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-0334/

Mozilla Foundation Security Advisory 2014-16:
http://www.mozilla.org/security/announce/2014/mfsa2014-16.html

Mozilla Foundation Security Advisory 2014-29:
http://www.mozilla.org/security/announce/2014/mfsa2014-29.html

Mozilla Foundation Security Advisory 2014-15:
http://www.mozilla.org/security/announce/2014/mfsa2014-15.html

Mozilla Foundation Security Advisory 2014-17:
http://www.mozilla.org/security/announce/2014/mfsa2014-17.html

Mozilla Foundation Security Advisory 2014-28:
http://www.mozilla.org/security/announce/2014/mfsa2014-28.html

Mozilla Foundation Security Advisory 2014-26:
http://www.mozilla.org/security/announce/2014/mfsa2014-26.html

Mozilla Foundation Security Advisory 2014-18:
http://www.mozilla.org/security/announce/2014/mfsa2014-18.html

Mozilla Foundation Security Advisory 2014-19:
http://www.mozilla.org/security/announce/2014/mfsa2014-19.html

Mozilla Foundation Security Advisory 2014-20:
http://www.mozilla.org/security/announce/2014/mfsa2014-20.html

Mozilla Foundation Security Advisory 2014-22:
http://www.mozilla.org/security/announce/2014/mfsa2014-22.html

Mozilla Foundation Security Advisory 2014-23:
http://www.mozilla.org/security/announce/2014/mfsa2014-23.html

Mozilla Foundation Security Advisory 2014-27:
http://www.mozilla.org/security/announce/2014/mfsa2014-27.html

Mozilla Foundation Security Advisory 2014-30:
http://www.mozilla.org/security/announce/2014/mfsa2014-30.html

Mozilla Foundation Security Advisory 2014-31:
http://www.mozilla.org/security/announce/2014/mfsa2014-31.html

Mozilla Foundation Security Advisory 2014-32:
http://www.mozilla.org/security/announce/2014/mfsa2014-32.html

Ubuntu Security Notice USN-2150-1:
http://www.ubuntu.com/usn/usn-2150-1/

Schwachstelle CVE-2014-1509 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1509

Schwachstelle CVE-2014-1496 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1496

Schwachstelle CVE-2014-1512 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1512

Schwachstelle CVE-2014-1504 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1504

Schwachstelle CVE-2014-1514 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1514

Schwachstelle CVE-2014-1498 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1498

Schwachstelle CVE-2014-1510 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1510

Schwachstelle CVE-2014-1511 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1511

Schwachstelle CVE-2014-1499 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1499

Schwachstelle CVE-2014-1497 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1497

Schwachstelle CVE-2014-1502 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1502

Schwachstelle CVE-2014-1513 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1513

Schwachstelle CVE-2014-1494 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1494

Schwachstelle CVE-2014-1493 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1493

Schwachstelle CVE-2014-1505 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1505

Schwachstelle CVE-2014-1508 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1508

Schwachstelle CVE-2014-1500 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-1500