2019-0330: Thunderbird: Mehrere Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2019-02-15 12:54): Neues Advisory
Version 2 (2019-02-18 10:25): Für Debian Stretch (stable) und Jessie (LTS) stehen Sicherheitsupdates bereit, mit denen Thunderbird auf Version 60.5.1 aktualisiert wird. Mit den Updates werden auch die Schwachstellen CVE-2018-18500, CVE-2018-18501 und CVE-2018-18505 adressiert, die mit Thunderbird 60.5.0 behoben wurden.
Version 3 (2019-02-20 12:36): Für Fedora 28 und 29 stehen Sicherheitsupdates für Thunderbird auf Version 60.5.1 im Status 'testing' (F28) und 'pending' (F29) bereit.
Version 4 (2019-02-25 10:52): Für SUSE Linux Enterprise Workstation Extension 15 steht ein Sicherheitsupdate für Thunderbird auf Version 60.5.1 bereit.
Version 5 (2019-02-26 17:31): Für openSUSE Leap 42.3 steht ein Sicherheitsupdate für Thunderbird auf Version 60.5.1 bereit.
Version 6 (2019-02-27 10:44): Canonical stellt für Ubuntu 18.10, 18.04 LTS, 16.04 LTS und 14.04 LTS Sicherheitsupdates bereit, mit denen Thunderbird auf Version 60.5.1 aktualisiert wird. Mit den Updates werden auch die Schwachstellen CVE-2018-18500, CVE-2018-18501 und CVE-2018-18505 adressiert, die mit Thunderbird 60.5.0 behoben wurden. Zusätzlich wird eine Schwachstelle in 'libical' behoben (CVE-2016-5824).

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann verschiedene Schwachstellen ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen oder Denial-of-Service (DoS)-Angriffe durchzuführen. Zudem können falsche Informationen dargestellt werden.

Der Hersteller stellt Thunderbird 60.5.1 als Sicherheitsupdate zur Behebung der Schwachstellen über die eigene Webseite zur Verfügung.

Schwachstellen:

CVE-2018-18335

Schwachstelle in Skia ermöglicht Ausführung beliebigen Programmcodes

CVE-2018-18356

Schwachstelle in Skia ermöglicht u. a. Denial-of-Service-Angriff

CVE-2018-18509

Schwachstelle in Thunderbird ermöglicht Darstellen falscher Informationen

CVE-2019-5785