2018-1297: Thunderbird: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-07-04 16:14)

Neues Advisory

Version 2 (2018-07-09 11:19)

Für die Distributionen openSUSE Leap 42.3 und openSUSE Leap 15.0 sowie SUSE Package Hub for SUSE Linux Enterprise 12 stehen Sicherheitsupdates auf die Thunderbird Version 52.9.0 zur Verfügung.

Version 3 (2018-07-13 11:11)

Canonical stellt für Ubuntu 14.04 LTS, 16.04 LTS, 17.10 und 18.04 LTS Sicherheitsupdates für Thunderbird auf die Version 52.9.1 zur Verfügung, um die Schwachstellen zu beheben. Laut Hersteller behebt die Version 52.9.1 auch die unter dem Namen 'EFAIL' bekannt gewordenen Schwachstellen, die das Ausspähen von Informationen ermöglichen. Canonical erwähnt diesen Kontext in der Sicherheitsmeldung allerdings nicht.

Version 4 (2018-07-25 12:03)

Der Hersteller gibt an, dass mit dem Update auf Thunderbird 52.9.1 die unter dem Namen EFAIL bekannten Schwachstellen vollständig behoben werden. Für Red Hat Enterprise Linux (RHEL) 6 und 7 sowie für Oracle Linux 6 und 7 stehen Sicherheitsupdates für Thunderbird auf diese Version bereit, um diese und die hier referenzierten Schwachstellen zu beheben. Die Updates stehen damit unter anderem für RHEL Desktop, Server und Workstation 6 und 7, RHEL Server EUS 7.5 und RHEL for ARM 7 zur Verfügung.

Version 5 (2018-08-03 10:37)

Für SUSE Linux Enterprise Workstation Extension 15 steht ein Sicherheitsupdate auf die Thunderbird Version 52.9.1 bereit.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle

Beschreibung:

Mehrere Schwachstellen in Mozilla Firefox und Firefox ESR betreffen auch Thunderbird und ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes, das Ausspähen von Informationen und die Durchführung eines Cross-Site-Request-Forgery (CSRF)-Angriffs. Mehrere weitere Schwachstellen in Thunderbird ermöglichen einem solchen Angreifer das Ausspähen von Informationen aus verschlüsselten Emails.

Grundsätzlich können die Schwachstellen in Mozilla Thunderbird nicht per Email ausgenutzt werden, da das 'Scripting' beim Lesen von E-Mails deaktiviert ist. Die Schwachstellen stellen aber ein potentielles Risiko in Browsern oder Browser-ähnlichen Kontexten dar. Die Kritikalität des zur Verfügung stehenden Sicherheitsupdates auf die Thunderbird Version 52.9 wird entsprechend der schwerwiegendsten Schwachstellen von Mozilla als 'critical' angegeben.

Schwachstellen:

CVE-2018-12359

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12360

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12362

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12363

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12364

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2018-12365

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12366

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12368

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12372

Schwachstelle in Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12373

Schwachstelle in Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12374

Schwachstelle in Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-5188

Schwachstellen in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglichen Ausführung beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.