2019-0601: Thunderbird: Zwei Schwachstellen ermöglichen die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2019-03-26 10:58): Neues Advisory
Version 2 (2019-03-27 10:56): Für Fedora 28 und 29 stehen Sicherheitsupdates für Thunderbird auf Version 60.6.1 im Status 'testing' bereit.
Version 3 (2019-04-05 16:59): Für openSUSE Leap 42.3 steht ein neues Sicherheitsupdate auf die Thunderbird Version 60.6.1 bereit, welches die Schwachstellen behebt.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein entfernter, nicht authentisierten Angreifer kann zwei Schwachstellen in Thunderbird vor Version 60.6.1 ausnutzen, um beliebigen Programmcode auszuführen. Die Schwachstellen und damit das Sicherheitsupdate werden von Mozilla als kritisch eingestuft.

Grundsätzlich können die Schwachstellen in Mozilla Thunderbird nicht per Email ausgenutzt werden, da das 'Scripting' beim Lesen von E-Mails deaktiviert ist. Die Schwachstellen stellen aber ein potentielles Risiko in Browsern oder Browser-ähnlichen Kontexten dar.

Mozilla veröffentlicht die Thunderbird Version 60.6.1, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2019-9810

Schwachstelle in Mozilla Firefox und Thunderbird ermöglicht Ausführung beliebigen Programmcodes

CVE-2019-9813