2015-0445: Mozilla Firefox (ESR), Mozilla Thunderbird, SeaMonkey: Mehrere Schwachstellen ermöglichen u.a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2015-04-01 18:16): Neues Advisory
Version 2 (2015-04-02 12:24): Canonical stellt für die Distributionen Ubuntu 14.10, Ubuntu 14.04 LTS und Ubuntu 12.04 LTS Sicherheitsupdates für Firefox zur Behebung der für Linux relevanten Schwachstellen bereit.
Version 3 (2015-04-06 23:45): Für Fedora 20 und Fedora 21 stehen Sicherheitsupdates für Firefox zur Behebung der für Linux relevanten Schwachstellen im Status 'stable' bereit.
Version 4 (2015-04-09 19:32): Für Fedora 22 steht ein Sicherheitsupdate auf Firefox 37.0.1 zur Behebung der für Linux relevanten Schwachstellen im Status 'testing' bereit. Für die Distributionen openSUSE 13.1 und openSUSE 13.2 stehen Sicherheitsupdates auf Firefox 37.0.1, Thunderbird 31.6.0 und Mozilla NSPR 4.10.8 zur Verfügung. Die Firefox-Schwachstelle CVE-2015-0799, die erst in Version 37.0.1 behoben ist, wurde aufgrund der beiden Updates in diese Meldung aufgenommen.
Version 5 (2015-04-20 18:12): Für Fedora EPEL 6 steht ein Sicherheitsupdate von SeaMonkey auf Version 2.28-5.ESR_31.6.0 zur Behebung der für Linux relevanten Schwachstellen im Status 'testing' bereit.

Betroffene Software

Office
Systemsoftware

Betroffene Plattformen

Apple
Google
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in Mozilla Firefox vor Version 37.0 bzw. Firefox ESR vor Version 31.6 und Thunderbird vor Version 31.6 ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes, die Durchführung von Denial-of-Service- und Cross-Site-Request-Forgery-Angriffen sowie das Ausspähen von Informationen und Umgehen von Sicherheitsvorkehrungen.
Die Schwachstellen CVE-2012-2808 und CVE-0800 betreffen nur Android, die Schwachstelle CVE-2015-0810 nur Mac OS X.

Schwachstellen:

CVE-2012-2808

Schwachstelle in DNS-Auflösung ermöglicht das Umgehen von Sicherheitsvorkehrungen

CVE-2015-0799

Schwachstelle in Firefox in den HTTP Alternative Services ermöglicht das Umgehen von Sicherheitsvorkehrungen

CVE-2015-0800

Schwachstelle in Android DNS-Auflösung ermöglicht das Umgehen von Sicherheitsvorkehrungen

CVE-2015-0801

Schwachstelle in Firefox und Thunderbird erlaubt das Umgehen der Same-Origin-Policy

CVE-2015-0802

Schwachstelle in Window.webidl Zugriffskontrolle in Firefox

CVE-2015-0803

Schwachstelle in der Behandlung von Quellen-Elementen in Firefox

CVE-2015-0804

Schwachstelle in der Behandlung von Quellen-Elementen in Firefox

CVE-2015-0805

Schwachstelle in Mozilla Firefox ermöglicht das Ausführen beliebigen Programmcodes

CVE-2015-0806

Schwachstelle in Mozilla Firefox ermöglicht das Ausführen beliebigen Programmcodes

CVE-2015-0807

Schwachstelle in CORS ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2015-0808

Schwachstelle in WebRTC ermöglicht Denial-of-Service-Angriff

CVE-2015-0810

Clickjacking-Schwachstelle in Mozilla Firefox

CVE-2015-0811

Schwachstelle in QCMS Bibliothek ermöglicht das Ausspähen von Informationen

CVE-2015-0812

Schwachstelle in Mozilla Firefox ermöglicht das Umgehen von Sicherheitsvorkehrungen

CVE-2015-0813

Use-after-free-Schwachstelle in Fluendo MP3 GStreamer Plugin ermöglicht Ausführen von Programmcode

CVE-2015-0814

Mehrere Speicherkorruptions-Schwachstellen in der Mozilla Bowser Engine

CVE-2015-0815