Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (27.04.2016):
Canonical stellt für die Distributionen Ubuntu Linux 12.04 LTS, 14.04 LTS,
15.10 und 16.04 LTS Sicherheitsupdates auf Mozilla Firefox 46 bereit.
Version 1 (27.04.2016):
Neues Advisory
Betroffene Software:
Mozilla Firefox < 46 Mozilla Firefox ESR < 38.8 Mozilla Firefox ESR < 45.1 Tor Browser < 5.5.5 Betroffene Plattformen: Apple Mac OS X Canonical Ubuntu Linux 12.04 Lts Canonical Ubuntu Linux 14.04 Lts Canonical Ubuntu Linux 15.10 Canonical Ubuntu Linux 16.04 LTS GNU/Linux Google Android Operating System Microsoft Windows Red Hat Enterprise Linux Desktop 5 Client Red Hat Enterprise Linux Desktop 6 Red Hat Enterprise Linux Desktop 7 Red Hat Enterprise Linux HPC Node 6 Red Hat Enterprise Linux Server 5 Red Hat Enterprise Linux Server 6 Red Hat Enterprise Linux Server 6.7.z EUS Red Hat Enterprise Linux Server 7 Red Hat Enterprise Linux Server 7.2 AUS Red Hat Enterprise Linux Server 7.2 EUS Red Hat Enterprise Linux Workstation 6 Red Hat Enterprise Linux Workstation 7 Mehrere Schwachstellen in Mozilla Firefox vor Version 46 und Mozilla Firefox ESR vor Version 45.1 sowie vor Version 38.8 ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausführen beliebigen Programmcodes, Eskalieren von Privilegien, Umgehen von Sicherheitsvorkehrungen, Ausspähen von Informationen und Durchführen von Denial-of-Service (DoS)-Angriffen. Für die Red Hat Enterprise Linux Produkte Server 5, 6, 6.7.z EUS, 7, 7.2 AUS und 7.2 EUS, Desktop 5, 6 und 7, HPC Node 6 sowie Workstation 6 und 7 stehen Sicherheitsupdates in Form aktueller Firefox ESR 45.1 Pakete bereit, welche die Schwachstellen CVE-2016-2805, CVE-2016-2806, CVE-2016-2807, CVE-2016-2808 und CVE-2016-2814 adressieren. Das Tor Browser Project stellt Tor Browser 5.5.5 als Sicherheitsupdate auf Basis von Firefox ESR 38.8.0 bereit, um die entsprechenden Schwachstellen zu beheben. Patch: Mozilla Foundation Security Advisories April 26, 2016 https://www.mozilla.org/en-US/security/advisories/
Patch:
Mozilla Foundation Security Advisory 2016-39
https://www.mozilla.org/en-US/security/advisories/mfsa2016-39/
Patch:
Mozilla Foundation Security Advisory 2016-40
https://www.mozilla.org/en-US/security/advisories/mfsa2016-40/
Patch:
Mozilla Foundation Security Advisory 2016-41
https://www.mozilla.org/en-US/security/advisories/mfsa2016-41/
Patch:
Mozilla Foundation Security Advisory 2016-42
https://www.mozilla.org/en-US/security/advisories/mfsa2016-42/
Patch:
Mozilla Foundation Security Advisory 2016-43
https://www.mozilla.org/en-US/security/advisories/mfsa2016-43/
Patch:
Mozilla Foundation Security Advisory 2016-44
https://www.mozilla.org/en-US/security/advisories/mfsa2016-44/
Patch:
Mozilla Foundation Security Advisory 2016-45
https://www.mozilla.org/en-US/security/advisories/mfsa2016-45/
Patch:
Mozilla Foundation Security Advisory 2016-46
https://www.mozilla.org/en-US/security/advisories/mfsa2016-46/
Patch:
Mozilla Foundation Security Advisory 2016-47
https://www.mozilla.org/en-US/security/advisories/mfsa2016-47/
Patch:
Mozilla Foundation Security Advisory 2016-48
https://www.mozilla.org/en-US/security/advisories/mfsa2016-48/
Patch:
Red Hat Fedora Security Advisory RHSA-2016:0695
http://rhn.redhat.com/errata/RHSA-2016-0695.html
Patch:
Tor Browser 5.5.5 Release Notes
https://blog.torproject.org/blog/tor-browser-555-released
Patch:
Ubuntu Security Notice USN-2936-1
http://www.ubuntu.com/usn/usn-2936-1/
CVE-2016-2820: Schwachstelle in Mozilla Firefox ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine nicht näher spezifizierte Schwachstelle im Firefox Health
Report von Mozilla Firefox aufgrund der ungenügenden Überprüfung von
bereitgestellten Inhalten in einem ‘remote-report-iframe’. Gelingt es einem
Angreifer durch das Ausnutzen einer weiteren Schwachstelle Webinhalte in den
iFrame des Firefox Health Report zu injizieren, kann dieser die
Freigabeeinstellungen des Benutzers durch das Auslösen bestimmter Events
ändern. Ein entfernter, nicht authentifizierter Angreifer kann die
Freigabeeinstellungen manipulieren und somit Sicherheitsvorkehrungen
umgehen.
CVE-2016-2817: Schwachstelle in Mozilla Firefox ermöglicht
Privilegieneskalation
Es existiert eine Schwachstelle in Mozilla Firefox, die durch
Browser-Erweiterungen hervorgerufen wird, welche die ‘chrome.tabs.update’
API verwenden. Diese API ermöglicht Erweiterungen, ohne dass diese dazu
zusätzliche Berechtigungen benötigen, auf beliebige javascript:URLs zu
navigieren. Ein Angreifer, der diese Schwachstelle ausnutzt, kann
Privilegien eskalieren und einen Universal Cross-Site-Scripting
(XSS)-Angriff mittels einer bösartigen Web-Erweiterung durchführen. Darüber
hinaus können auch Inhalte in andere Erweiterungen injiziert werden, sollten
diese Inhalte aus den Browser Tabs laden. Ein entfernter, nicht
authentifizierter Angreifer kann Privilegien eskalieren.
CVE-2016-2816: Schwachstelle in Mozilla Firefox ermöglicht Umgehen von
Sicherheitsvorkehrungen
Es existiert eine Schwachstelle in der Content Security Policy (CSP) von
Mozilla Firefox, die durch die unzureichende Überprüfung von Inhalten,
welche mit dem MIME-Type ‘multipart/x-mixed-replace’ gesendet werden,
hervorgerufen wird. Durch das erfolgreiche Ausnutzen der Schwachstelle ist
ein Angreifer in der Lage Skripte in Instanzen auszuführen, in denen die
Content Security Policy dies verhindern sollte. Potentiell werden dadurch
Cross-Site-Scripting (XSS)- und weitere Angriffe möglich. Ein entfernter,
nicht authentifizierter Angreifer kann Sicherheitsvorkehrungen umgehen und
dadurch weitere Angriffe durchführen.
CVE-2016-2814: Schwachstelle in Mozilla Firefox ermöglicht
Denial-of-Service-Angriff
Es existiert eine nicht näher spezifizierte
Pufferspeicherüberlauf-Schwachstelle in der Libstagefright Bibliothek in
Mozilla Firefox, die bei der Handhabung von CENC Offsets in Zusammenhang mit
den Tabellengrößen hervorgerufen wird. Ein entfernter, nicht
authentifizierter Angreifer, der diese Schwachstelle ausnutzt, kann einen
Denial-of-Service-Angriff durchführen.
CVE-2016-2813: Schwachstelle in Mozilla Firefox ermöglicht Ausspähen von
Informationen
Es existiert eine Schwachstelle in Mozilla Firefox für Android, die durch
die Verwendbarkeit von Orientierungsdaten und Daten aus den
Bewegungssensoren durch den Browser über JavaScript hervorgerufen wird.
Diese Schwachstelle ermöglicht es einem Angreifer, durch Auswerten der
Bewegungsdaten, das Benutzerverhalten während der Eingabe zu erlernen und
Rückschlüsse auf Touch-Eingaben zu machen. Dadurch wird die Privatsphäre des
Benutzers kompromittiert und möglicherweise können auch PIN-Eingaben
enthüllt werden. Ein entfernter, nicht authentifizierter Angreifer kann
Informationen ausspähen.
CVE-2016-2812: Schwachstelle in Mozilla Firefox ermöglicht
Denial-of-Service-Angriff
Es existiert eine nicht näher spezifizierte Schwachstelle in Mozilla
Firefox, aufgrund einer Wettlaufsituation (Race Condition) im
ServiceWorkerManager. Durch das Auslösen dieser Race Condition ist es
möglich den Pufferspeicher der Applikation zum Überlauf zu bringen und die
Anwendung abstürzen zu lassen. Potenziell besteht darüber hinaus die Gefahr,
dass beliebiger Programmcode zur Ausführung gebracht werden kann. Ein
entfernter, nicht authentifizierter Angreifer kann einen
Denial-of-Service-Angriff (DoS) durchführen.
CVE-2016-2811: Schwacshtelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine nicht näher spezifizierte Use-after-free-Schwachstelle in
Mozilla Firefox, die durch ein ServiceWorkerInfo Objekt verursacht wird.
Dieses behält über die Lebenszeit hinweg seine Speicherreservierung, wodurch
bei Aufruf des Objektes zu einem späteren Zeitpunkt ein Use-after-free
hervorgerufen werden kann. Ein entfernter, nicht authentifizierter Angreifer
kann beliebigen Programmcode ausführen.
CVE-2016-2810: Schwachstelle in Mozilla Firefox ermöglicht Umgehen von
Sicherheitsvorkehrungen und Ausspähen von Informationen
Es existiert eine Schwachstelle in Mozilla Firefox für Android
Betriebssysteme, die durch das Vortäuschen der Berechtigungsliste für
Content Provider ausgenutzt werden kann. Eine zuvor installierte bösartige
Applikation kann dadurch den Signaturen-Schutz der Content Provider
Berechtigungen umgehen und auf Daten des Browsers zugreifen. Dies beinhaltet
den Browser-Verlauf sowie lokal gespeicherte Passwörter. Ein entfernter,
nicht authentifizierter Angreifer kann Sicherheitsvorkehrungen umgehen und
Informationen ausspähen.
CVE-2016-2809: Schwachstelle in Mozilla Firefox ermöglicht
Privilegieneskalation
Es existiert eine Schwachstelle in Mozilla Firefox auf Windows
Betriebssystemen aufgrund eines Fehlers im Mozilla Maintenance Service
Updater für Windows. Dieser ist aufgrund von privilegierten Systemrechten in
der Lage beliebige Dateien zu löschen. Diese Funktionalität kann ausgenutzt
werden, um weitere Privilegien zu erhalten. Hierfür muss ein lokaler
Benutzer des Systems dazu verleitet werden eine gespeicherte Datei
auszuführen. Ein entfernter, nicht authentifizierter Angreifer kann
Privilegien eskalieren.
CVE-2016-2808: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine Schwachstelle in Mozilla Firefox und Firefox ESR, die es
ermöglicht mit der Methode JavaScript .watch() den 32-Bit Zähler der
darunterliegenden HashMap zum Überlauf zu bringen. Dadurch ist es möglich in
einen ungültigen Eintrag der HashMap zu schreiben und unter bestimmten
Bedingungen Programmcode zur Ausführung zu bringen. Der Überlauf benötigt
eine erhebliche Zeit und der Benutzer muss für einen erfolgreichen Angriff
über die gesamte Dauer auf der bösartigen Webseite gehalten werden. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen und beliebigen Programmcode ausführen.
CVE-2016-2807: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine Schwachstelle in der Browser Engine von Mozilla Firefox
und Firefox ESR vor Version 46 sowie Firefox ESR vor Version 38.8 aufgrund
der unsicheren Behandlung von Speicher. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um die
Applikation abstürzen lassen und möglicherweise auch Programmcode zur
Ausführung bringen.
CVE-2016-2806: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine Schwachstelle in der Browser Engine von Mozilla Firefox
und Firefox ESR vor Version 46 aufgrund der unsicheren Behandlung von
Speicher. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle ausnutzen, um die Applikation abstürzen lassen und
möglicherweise auch Programmcode zur Ausführung bringen.
CVE-2016-2805: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine Schwachstelle in der Browser Engine von Mozilla Firefox
ESR vor Version 38.8 aufgrund einer nicht näher beschriebenen
Speicherkorrumpierung. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um die Applikation abstürzen lassen und
möglicherweise auch Programmcode zur Ausführung bringen.
CVE-2016-2804: Schwachstelle in Mozilla Firefox ermöglicht Ausführen
beliebigen Programmcodes
Es existiert eine Schwachstelle in der Browser Engine von Mozilla Firefox
vor Version 46 aufgrund der unsicheren Behandlung von Speicher. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um die Applikation abstürzen lassen und möglicherweise auch
Programmcode zur Ausführung bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0677/
Mozilla Foundation Security Advisories April 26, 2016:
https://www.mozilla.org/en-US/security/advisories/
Mozilla Foundation Security Advisory 2016-39:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-39/
Mozilla Foundation Security Advisory 2016-40:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-40/
Mozilla Foundation Security Advisory 2016-41:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-41/
Mozilla Foundation Security Advisory 2016-42:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-42/
Mozilla Foundation Security Advisory 2016-43:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-43/
Mozilla Foundation Security Advisory 2016-44:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-44/
Mozilla Foundation Security Advisory 2016-45:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-45/
Mozilla Foundation Security Advisory 2016-46:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-46/
Mozilla Foundation Security Advisory 2016-47:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-47/
Mozilla Foundation Security Advisory 2016-48:
https://www.mozilla.org/en-US/security/advisories/mfsa2016-48/
Red Hat Fedora Security Advisory RHSA-2016:0695:
http://rhn.redhat.com/errata/RHSA-2016-0695.html
Tor Browser 5.5.5 Release Notes:
https://blog.torproject.org/blog/tor-browser-555-released
Ubuntu Security Notice USN-2936-1:
http://www.ubuntu.com/usn/usn-2936-1/
Mozilla Firefox 46.0 Release Notes:
https://www.mozilla.org/en-US/firefox/46.0/releasenotes/
Mozilla Firefox ESR 38.8.0 Release Notes:
https://www.mozilla.org/en-US/firefox/38.8.0/releasenotes/
Mozilla Firefox ESR 45.1.0 Release Notes:
https://www.mozilla.org/en-US/firefox/45.1.0/releasenotes/
Schwachstelle CVE-2016-2804 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2804
Schwachstelle CVE-2016-2805 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2805
Schwachstelle CVE-2016-2806 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2806
Schwachstelle CVE-2016-2807 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2807
Schwachstelle CVE-2016-2808 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2808
Schwachstelle CVE-2016-2809 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2809
Schwachstelle CVE-2016-2810 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2810
Schwachstelle CVE-2016-2811 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2811
Schwachstelle CVE-2016-2812 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2812
Schwachstelle CVE-2016-2813 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2813
Schwachstelle CVE-2016-2814 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2814
Schwachstelle CVE-2016-2816 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2816
Schwachstelle CVE-2016-2817 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2817
Schwachstelle CVE-2016-2820 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2820
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
