2020-2737: Thunderbird: Mehrere Schwachstellen ermöglichen u. a. nicht spezifizierte Angriffe

Historie:

Version 1 (2020-12-16 10:42): Neues Advisory
Version 2 (2020-12-17 11:21): Für Fedora 32 und 33 stehen Sicherheitsupdates in Form der Pakete 'thunderbird-78.6.0-1.fc32', 'thunderbird-78.6.0-1.fc33' und 'thunderbird-master-3320201215152414.1' im Status 'testing' auf das Thunderbird Release 78.6.0 zur Verfügung.
Version 3 (2020-12-18 08:45): Für Debian 9 Stretch (LTS) steht ein Sicherheitsupdate für 'thunderbird' in Version 1:78.6.0-1~deb9u1 und für Debian 10 Buster (stable) in Version 1:78.6.0-1~deb10u1 zur Behebung der Schwachstellen bereit.
Version 4 (2020-12-18 13:25): Red Hat veröffentlicht für die Red Hat Enterprise Linux Produkte Desktop 7, Workstation 7, Server 7, AUS 8.2 x86_64 und TUS 8.2 x86_64, Linux for x86_64 und for aarch64 Version 8 und 8.2 EUS Sicherheitsupdates auf die Thunderbird Version 78.6.0.
Version 5 (2020-12-19 14:50): Für Oracle Linux 7 und 8 stehen Sicherheitsupdates bereit, mit denen Thunderbird auf Version 78.6.0 aktualisiert wird.
Version 6 (2020-12-22 09:58): Für SUSE Linux Enterprise Workstation Extension 15 SP1 sowie Red Hat Enterprise Linux - Extended Update Support 8.1 x86_64 stehen Sicherheitsupdates für Thunderbird auf Version 78.6.0 bereit.
Version 7 (2020-12-23 13:49): Für openSUSE Leap 15.2 steht ein Sicherheitsupdate für MozillaThunderbird auf Version 78.6.0 bereit.
Version 8 (2020-12-28 09:26): Für openSUSE Leap 15.1 und SUSE Linux Enterprise Workstation Extension 15 SP2 stehen Sicherheitsupdates für MozillaThunderbird auf Version 78.6.0 bereit.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft
Oracle

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen, beliebigen Programmcode auszuführen, einen Denial-of-Service (DoS)-Angriff durchzuführen und nicht spezifizierte Angriffe durchzuführen. Ein Angreifer kann eine weitere Schwachstelle lokal ausnutzen, um beliebigen Programmcode auszuführen. Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich. Alle Schwachstellen erfordern die Interaktion eines Benutzers.

Im Allgemeinen können diese Schwachstellen nicht per E-Mail ausgenutzt werden, weil die Ausführung von Skripten in Thunderbird deaktiviert ist. Sie stellen aber in Browsern und Browser-ähnlichem Kontext ein potentielles Risiko dar.

Die Mozilla Foundation stellt Thunderbird 78.6 als Sicherheitsupdates zur Behebung der Schwachstellen bereit. Eine der genannten Schwachstellen ist nur für Windows-Systeme relevant (CVE-2020-35112).

Schwachstellen:

CVE-2020-16042

Schwachstelle in V8 und beim Verarbeiten von BigInts ermöglicht nicht spezifizierte Angriffe

CVE-2020-26971

Schwachstelle in WebGL ermöglicht Denial-of-Service-Angriff

CVE-2020-26973

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht u. a. Umgehen von Sicherheitsvorkehrungen

CVE-2020-26974

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht u. a. Denial-of-Service-Angriff

CVE-2020-26978

Schwachstelle in Firefox, Firefox ESR und Thunderbird ermöglicht Ausspähen von Informationen

CVE-2020-35111