2020-2309: Thunderbird: Zwei Schwachstellen ermöglichen u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2020-10-22 11:31)

Neues Advisory

Version 2 (2020-10-26 10:24)

Für die stabile Distribution Debian 10 Buster steht ein Sicherheitsupdate für 'thunderbird' in Version 1:78.4.0-1~deb10u1 bereit, um die beiden Schwachstellen zu beheben.

Version 3 (2020-10-27 11:43)

Für Debian 9 Stretch (LTS) steht ein Sicherheitsupdate für 'thunderbird' in Version 1:78.4.0-1~deb9u1 zur Behebung der beiden Schwachstellen zur Verfügung.

Version 4 (2020-10-30 11:43)

Für die SUSE Linux Enterprise Produkte Workstation Extension und Module for Basesystem jeweils in den Version 15 SP1 und 15 SP2 stehen Sicherheitsupdates für 'MozillaThunderbird' und 'mozilla-nspr' auf Mozilla Thunderbird 78.4 bereit, womit sechs Schwachstellen behoben werden. Für Fedora 31, 32 und 33 stehen Sicherheitsupdates in Form von 'thunderbird-78.4.0-1'-Paketen im Status 'testing' zur Verfügung.

Version 5 (2020-11-02 09:12)

Für openSUSE Leap 15.1 und 15.2 stehen Sicherheitsupdates für 'MozillaThunderbird' und 'mozilla-nspr' auf Mozilla Thunderbird 78.4 bereit, womit sechs Schwachstellen behoben werden.

Version 6 (2020-11-02 12:33)

Für Fedora 33 Flatpaks steht ein Sicherheitsupdate im Status 'testing' bereit, mit dem die betroffene Software auf Version 78.4.0 aktualisiert wird.

Version 7 (2020-11-05 14:44)

Für Red Hat Enterprise Linux 7 und 8 stehen Sicherheitsupdates bereit, mit denen die betroffene Software auf Version 78.4.0 aktualisiert wird.

Version 8 (2020-11-05 17:14)

Für Red Hat Enterprise Linux 6 (Server, Workstation), Red Hat Enterprise Linux 8.1 und 8.2 Extended Update Support sowie Red Hat Enterprise Linux Server - AUS / TUS 8.2 stehen Sicherheitsupdates bereit, mit denen die betroffene Software auf Version 78.4.0 aktualisiert wird.

Version 9 (2020-11-09 11:24)

Für Oracle Linux 7 (aarch64, x86_64) steht ein Sicherheitsupdate zur Behebung der beiden Schwachstellen bereit.

Version 10 (2020-11-16 09:38)

Für Oracle Linux 6 (i386, x86_64) steht ein Sicherheitsupdate für 'thunderbird' auf Version 7.4.0-1 zur Behebung der beiden Schwachstellen bereit.

Version 11 (2020-11-18 08:51)

Für Oracle Linux 8 (aarch64, x86_64) steht ein Sicherheitsupdate für 'thunderbird' auf Version 7.4.0-1 zur Behebung der beiden Schwachstellen bereit.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle

Beschreibung:

Ein entfernter Angreifer kann zwei Schwachstellen ausnutzen, um beliebigen Programmcode auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Erfolgreiche Angriffe erfordern die Interaktion eines Benutzers.

Im Allgemeinen können diese Schwachstellen nicht per E-Mail ausgenutzt werden, weil die Ausführung von Skripten in Thunderbird deaktiviert ist. Sie stellen aber in Browsern und Browser-ähnlichem Kontext ein potentielles Risiko dar.

Der Hersteller informiert über die Schwachstellen und stellt zu deren Behebung die Version 78.4 bereit.

Schwachstellen:

CVE-2020-15683

Schwachstellen in Firefox, Firefox ESR und Thunderbird ermöglichen Ausführen beliebigen Programmcodes

CVE-2020-15969

Schwachstelle in usersctp ermöglicht u. a. Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.