2016-0288: Mozilla Thunderbird: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2016-02-17 15:02): Neues Advisory
Version 2 (2016-02-17 16:52): openSUSE stellt für openSUSE Leap 42.1, openSUSE 13.2 und openSUSE 13.1 Sicherheitsupdates auf die Thunderbird Version 38.6.0 bereit.
Version 3 (2016-02-18 18:30): Red Hat stellt für verschiedene Enterprise Linux 5, 6 und 7 Produkte Sicherheitsupdates auf die Thunderbird Version 38.6.0 zur Verfügung.
Version 4 (2016-02-22 11:07): Für Fedora 22 und 23 stehen Sicherheitsupdates auf die Thunderbird Version 38.6.0 in Form der Pakete thunderbird-38.6.0-1.fc22 im Status 'testing' und thunderbird-38.6.0-1.fc23 im Status 'stable' zur Verfügung.
Version 5 (2016-02-25 11:58): Debian stellt für die Distributionen Wheezy (old stable), Jessie (stable) und Stretch (testing) Sicherheitsupdates auf die Icedove Version 38.6.0 zur Verfügung, um die Schwachstellen CVE-2015-7575, CVE-2016-1523, CVE-2016-1930 und CVE-2016-1935 zu beheben.
Version 6 (2016-03-08 17:07): Canonical stellt für die Distributionen Ubuntu 12.04 LTS, 14.04 LTS und 15.10 Sicherheitsupdates auf die Version 38.6.0 zur Verfügung, um die Schwachstellen CVE-2015-7575, CVE-2016-1523, CVE-2016-1930 und CVE-2016-1935 zu beheben.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in Mozilla Thunderbird ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes, verschiedene Denial-of-Service-Angriffe und das Umgehen von Sicherheitsvorkehrungen.

Mozilla informiert mit Updates auf die Mozilla Foundation Security Advisories 2015-150, 2016-01, 2016-03 und 2016-14 darüber, dass Mozilla Thunderbird von den Schwachstellen betroffen ist, aber lediglich die Schwachstelle CVE-2015-7575 Mozilla Thunderbird direkt angreifbar macht. Die weiteren Schwachstellen können nicht per Email ausgenutzt werden, stellen aber ein Sicherheitsrisiko in Browsern und einem Browser ähnlichen Umgebungen dar. Die Mozilla Foundation stellt ein Update auf Mozilla Thunderbird 38.6 bereit, das alle angegebenen Schwachstellen behebt.

Schwachstellen:

CVE-2015-7575

Schwachstelle in Network Security Services ermöglicht das Umgehen von Sicherheitsvorkehrungen

CVE-2016-1521

Schwachstelle in Graphite2 ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-1522

Schwachstelle in Graphite2 ermöglicht Denial-of-Service-Angriff

CVE-2016-1523

Schwachstelle in Graphite2 ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-1526

Schwachstelle in Graphite2 ermöglicht Denial-of-Service-Angriff

CVE-2016-1930

Schwachstellen in Mozilla Firefox ermöglichen Ausführen beliebigen Programmcodes

CVE-2016-1931