2019-2566: Thunderbird: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2019-12-05 11:46): Neues Advisory
Version 2 (2019-12-10 19:29): Für Red Hat Enterprise Linux Desktop, Server und Workstation 7, Red Hat Enterprise Linux for x86_64 - Extended Update Support 7.7 sowie Red Hat Enterprise Linux Server - AUS 7.7 und TUS 7.7 stehen Sicherheitsupdates für Thunderbird auf Version 68.3.0 bereit.
Version 3 (2019-12-11 10:27): Für Red Hat Enterprise Linux 8 steht ein Sicherheitsupdate bereit, mit dem Thunderbird auf Version 68.3.0 aktualisiert wird.
Version 4 (2019-12-11 15:57): Für Oracle Linux 7 steht ein Sicherheitsupdate bereit, mit dem Thunderbird auf Version 68.3.0 aktualisiert wird.
Version 5 (2019-12-11 16:06): Für Red Hat Enterprise Linux Desktop, Server und Workstation 6 stehen Sicherheitsupdates für Thunderbird auf Version 68.3.0 bereit.
Version 6 (2019-12-11 18:28): Für Oracle Linux 8 steht ein Sicherheitsupdate bereit, mit dem Thunderbird auf Version 68.3.0 aktualisiert wird.
Version 7 (2019-12-16 12:55): Für Debian 10 Buster (stable) und Debian 9 Stretch (oldstable) stehen Sicherheitsupdates auf Basis von Thunderbird 68.3.0 bereit, mit denen die Schwachstellen CVE-2019-17005, CVE-2019-17008, CVE-2019-17010, CVE-2019-17011 und CVE-2019-17012 adressiert werden.
Version 8 (2019-12-16 15:26): Für Debian 8 Jessie (LTS) steht ebenfalls ein Sicherheitsupdate auf Basis von Thunderbird 68.3.0 bereit, mit dem die Schwachstellen CVE-2019-17005, CVE-2019-17008, CVE-2019-17010, CVE-2019-17011 und CVE-2019-17012 adressiert werden.
Version 9 (2019-12-19 11:53): Für SUSE Linux Enterprise Workstation Extension in den Versionen 15 und 15 SP1 stehen Sicherheitsupdates bereit, mit denen MozillaThunderbird auf Version 68.3.0 ESR aktualisiert wird.
Version 10 (2020-01-10 11:20): Für openSUSE Leap 15.1 steht als Sicherheitsupdate Thunderbird 68.3.0 ESR zur Verfügung.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle

Beschreibung:

Mehrere Schwachstellen ermöglichen einem entfernten, nicht authentisierten Angreifer das Ausführen beliebigen Programmcodes, verschiedene Denial-of-Service (DoS)-Angriffe und möglicherweise weitere Angriffe. Eine weitere Schwachstelle ermöglicht einem lokalen, nicht authentisierten Angreifer das Ausspähen von Informationen. Im allgemeinen können diese Schwachstellen nicht per E-Mail ausgenutzt werden, weil die Ausführung von Skripten in Thunderbird deaktiviert ist, sie stellen aber in Browser oder Browser-ähnlichem Kontext ein potentielles Risiko dar.

Der Hersteller veröffentlicht Thunderbird 68.3.0 als Sicherheitsupdate zur Behebung der Schwachstellen.

Schwachstellen:

CVE-2019-11745

Schwachstelle in Network Security Services (NSS) ermöglicht Ausführung beliebigen Programmcodes mit Benutzerrechten