2020-2528: Thunderbird: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2020-11-18 12:47): Neues Advisory
Version 2 (2020-11-23 09:31): Für Debian 10 Buster (stable) steht ein Sicherheitsupdate für 'thunderbird' in Version 1:78.5.0-1~deb10u1 bereit, um die Schwachstelle zu beheben.
Version 3 (2020-11-23 12:32): Für Debian 9 Stretch (LTS) stehen Sicherheitsupdates für 'thunderbird' in Version 1:78.5.0-1~deb9u1 bereit, um die Schwachstelle zu beheben.
Version 4 (2020-11-26 17:47): Für SUSE Linux Enterprise Workstation Extension 15 SP1 und 15 SP2 stehen Sicherheitsupdates für 'MozillaThunderbird' bereit, womit Thunderbird auf die Version 78.5.0 aktualisiert wird und die Schwachstellen behoben werden.
Version 5 (2020-11-30 09:21): Für Fedora 32 und 33 stehen Sicherheitsupdates in Form von 'thunderbird-78.5.0-1'-Paketen im Status 'testing' bereit, um die Schwachstellen zu beheben.
Version 6 (2020-11-30 12:09): Für openSUSE Leap 15.2 steht ein Sicherheitsupdate für 'MozillaThunderbird' bereit, womit Thunderbird auf die Version 78.5.0 aktualisiert wird, um die Schwachstellen zu beheben.
Version 7 (2020-11-30 14:08): Für Red Hat Enterprise Linux 8 (x86_64, aarch64), Red Hat Enterprise Linux 8.1 Extended Update Support (x86_64) und 8.2 Extended Update Support (x86_64, aarch64) sowie Red Hat Enterprise Linux Server AUS 8.2 und TUS 8.2 (x86_64) stehen Sicherheitsupdates für 'thunderbird' zur Verfügung, womit Thunderbird auf die Version 78.5.0 aktualisiert wird.
Version 8 (2020-11-30 15:02): Für Red Hat Enterprise Linux 6 (Server, Workstation, Desktop) stehen Sicherheitsupdates für 'thunderbird' bereit, womit Thunderbird auf Version 78.5.0 aktualisiert wird.
Version 9 (2020-12-01 09:03): Für Red Hat Enterprise Linux 7 (Server, Workstation, Desktop) stehen Sicherheitsupdates für 'thunderbird' bereit, womit Thunderbird auf Version 78.5.0 aktualisiert wird. Für Oracle Linux 7 (x86_64) steht ein entsprechendes Sicherheitsupdate zur Verfügung.
Version 10 (2020-12-01 10:47): Für Oracle Linux 8 (x86_64, aarch64) steht ebenfalls ein Sicherheitsupdate für Thunderbird auf Version 78.5.0 zur Verfügung.
Version 11 (2020-12-02 10:48): Für Oracle Linux 6 (i386, x86_64) stehen nun ebenfalls Sicherheitsupdates für Thunderbird auf Version 78.5.0 zur Verfügung.
Version 12 (2020-12-07 17:17): Für openSUSE Leap 15.1 steht ein Sicherheitsupdate für 'MozillaThunderbird' bereit, womit Thunderbird auf die Version 78.5.0 aktualisiert wird, um die Schwachstellen zu beheben.
Version 13 (2020-12-15 13:57): Für Fedora 33 (Flatpaks) steht ein Sicherheitsupdate auf das Thunderbird 78.5.0 Release in Form des Paketes 'thunderbird-master-3320201130064404.2' im Status 'testing' bereit.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um verschiedene Cross-Site-Scripting (XSS)-Angriffe durchzuführen, Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Eine Schwachstelle kann im benachbarten Netzwerk ausgenutzt werden, um Informationen auszuspähen. Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann Einfluss auf andere Komponenten haben.

Im Allgemeinen können diese Schwachstellen nicht per E-Mail ausgenutzt werden, weil die Ausführung von Skripten in Thunderbird deaktiviert ist. Sie stellen aber in Browsern und Browser-ähnlichem Kontext ein potentielles Risiko dar.

Die Mozilla Foundation stellt Thunderbird 78.5 als Sicherheitsupdates zur Behebung der Schwachstellen bereit. Eine der genannten Schwachstellen ist nur für Windows-Systeme relevant (CVE-2020-26966).

Schwachstellen:

CVE-2020-15999

Schwachstelle in FreeType ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-16012

Schwachstelle in Skia ermöglicht Ausspähen von Informationen

CVE-2020-26951

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht u. a. Umgehen von Sicherheitsvorkehrungen

CVE-2020-26953

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2020-26956

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht Cross-Site-Scripting-Angriff

CVE-2020-26958

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht u. a. Cross-Site-Scripting-Angriff

CVE-2020-26959

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-26960