2018-1552: Thunderbird: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-08-07 13:51)

Neues Advisory

Version 2 (2018-09-07 11:58)

Für Fedora 27 und 28 stehen Sicherheitsupdates für Thunderbird auf Version 60.0 im Status 'testing' bereit.

Version 3 (2018-09-10 11:43)

Für openSUSE Leap 15.0 und 42.3 stehen Sicherheitsupdates für Thunderbird auf Version 60.0 bereit.

Version 4 (2018-09-17 13:48)

Für Debian Stretch (stable) steht ein Sicherheitsupdate bereit, mit dem 'thunderbird' auf den Vesionszweig 60.x aktualisiert wird. Debian weist darauf hin, dass die umfangreichen Änderungen beim damit erfolgten Versionssprung von Versionszweig 52.x dazu geführt haben, dass einige Erweiterungen für Thunderbird nicht mehr funktionieren. Darüber hinaus werden bestimmte Architekturen aktuell noch nicht unterstützt (mips, mips64el, mipsel). Im Sicherheitshinweis des Herstellers werden nur die Schwachstellen CVE-2018-5156, CVE-2018-5187, CVE-2018-12361, CVE-2018-12367 und CVE-2018-12371 genannt.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in Mozilla Firefox und Firefox ESR betreffen auch Thunderbird und ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes, das Ausspähen von Informationen und die Durchführung eines Cross-Site-Request-Forgery (CSRF)- und eines Denial-of-Service (DoS)-Angriffs.

Grundsätzlich können die Schwachstellen in Mozilla Thunderbird nicht per Email ausgenutzt werden, da die Ausführung von Skript-Programmcode beim Lesen von E-Mails deaktiviert ist. Die Schwachstellen stellen aber ein potentielles Risiko in Browsern oder Browser-ähnlichem Kontext dar.

Der Hersteller stellt Thunderbird 60 als Sicherheitsupdate zur Behebung der Schwachstellen über die eigene Webseite zur Verfügung. Mit der neuen Version werden umfassende Änderungen umgesetzt, die auch Auswirkungen auf den Kalender und andere Erweiterungen haben können. Ein Upgrade von Thunderbird 52 oder früher auf die neue Version ist nicht verfügbar, mehrere der Schwachstellen wurden bereits mit vorherigen Updates für Thunderbird adressiert.

Schwachstellen:

CVE-2018-12359

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12360

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12361

Schwachstelle in Mozilla Firefox, Firefox ESR und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12362

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12363

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12364

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Cross-Site-Request-Forgery-Angriff

CVE-2018-12365

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12366

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12367

Schwachstelle in Mozilla Firefox, Firefox ESR und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2018-12368

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-12371

Schwachstelle in Mozilla Firefox, Firefox ESR und Thunderbird ermöglicht u. a. Denial-of-Service-Angriff

CVE-2018-5156

Schwachstelle in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-5187

Schwachstellen in Mozilla Firefox, Firefox ESR und Thunderbird ermöglichen Ausführung beliebigen Programmcodes

CVE-2018-5188

Schwachstellen in Mozilla Firefox, Firefox ESR, Tor Browser und Thunderbird ermöglichen Ausführung beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.