Babin" Debian -- Informations sur la sécurité -- DSA-1696-1 icedove

Bulletin d'alerte Debian

DSA-1696-1 icedove -- Plusieurs vulnérabilités

Date du rapport:
7 janvier 2009
Paquets concernés:
icedove
Vulnérabilité:
Oui
Références dans la base de données de sécurité:
Dans le dictionnaire CVE du Mitre : CVE-2008-0016, CVE-2008-1380, CVE-2008-3835, CVE-2008-4058, CVE-2008-4059, CVE-2008-4060, CVE-2008-4061, CVE-2008-4062, CVE-2008-4065, CVE-2008-4067, CVE-2008-4068, CVE-2008-4070, CVE-2008-4582, CVE-2008-5012, CVE-2008-5014, CVE-2008-5017, CVE-2008-5018, CVE-2008-5021, CVE-2008-5022, CVE-2008-5024, CVE-2008-5500, CVE-2008-5503, CVE-2008-5506, CVE-2008-5507, CVE-2008-5508, CVE-2008-5511, CVE-2008-5512.
Pour plus d'information:

Plusieurs vulnérabilités distantes ont été découvertes dans Icedove, une version en marque blanche du client de courriel Thunderbird. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants :

  • CVE-2008-0016

    Justin Schuh, Tom Cross and Peter Williams ont découvert un dépassement de tampon dans l'analyseur d'URL UTF-8. Ceci peut conduire à l'exécution de code arbitraire. (MFSA 2008-37)

  • CVE-2008-1380

    Il a été découvert qu'un arrêt dû à un bogue dans le moteur Javascript pourrait permettre l'exécution de code arbitraire. (MFSA 2008-20)

  • CVE-2008-3835

    "moz_bug_r_a4" a découvert que la vérification de même origine dans nsXMLDocument::OnChannelRedirect() peut être contournée. (MFSA 2008-38)

  • CVE-2008-4058

    "moz_bug_r_a4" a découvert une vulnérabilité pouvant conduire à une augmentation de privilège de Chrome via XPCNativeWrappers. (MFSA 2008-41)

  • CVE-2008-4059

    "moz_bug_r_a4" a découvert une vulnérabilité pouvant conduire à une augmentation de privilège de Chrome via XPCNativeWrappers. (MFSA 2008-41)

  • CVE-2008-4060

    Olli Pettay et "moz_bug_r_a4" ont découvert une vulnérabilité permettant une augmentation de privilège de Chrome dans la gestion XSLT. (MFSA 2008-41)

  • CVE-2008-4061

    Jesse Ruderman a découvert un arrêt dû à un bogue dans le moteur de rendu. Ceci peut conduire à une exécution de code arbitraire. (MFSA 2008-42)

  • CVE-2008-4062

    Igor Bukanov, Philip Taylor, Georgi Guninski et Antoine Labour ont découvert un arrêt dû à un bogue dans le moteur Javascript. Ceci peut conduire à une exécution de code arbitraire. (MFSA 2008-42)

  • CVE-2008-4065

    Dave Reed a découvert que certains marqueurs d'ordre des octets Unicode sont supprimés du code Javascript avant exécution. Ceci peut conduire à l'exécution de code faisant normalement partie d'une chaîne de caractère. (MFSA 2008-43)

  • CVE-2008-4067

    Il a été découvert qu'il est possible via certains caractères de lire des fichiers arbitraires en utilisant un changement de dossier. (MFSA 2008-44)

  • CVE-2008-4068

    Il a été découvert qu'un changement de dossier permet à des attaquants de contourner des restrictions de sécurité et d'obtenir des informations sensibles. (MFSA 2008-44)

  • CVE-2008-4070

    Il a été découvert qu'un dépassement de tampon peut être effectué via une longue en-tête d'un message de nouvelle. Ceci peut conduire à l'exécution de code arbitraire. (MFSA 2008-46)

  • CVE-2008-4582

    Liu Die Yu et Boris Zbarsky ont découvert une fuite d'informations via des fichiers locaux de raccourcis. (MFSA 2008-47, MFSA 2008-59)

  • CVE-2008-5012

    Georgi Guninski, Michal Zalewski et Chris Evan ont découvert qu'un élément de dessin peut être utilisé pour contourner une vérification de même origine. (MFSA 2008-48)

  • CVE-2008-5014

    Jesse Ruderman a découvert qu'une erreur de programmation dans l'objet window.__proto__.__proto__ object peut permettre l'exécution de code arbitraire. (MFSA 2008-50)

  • CVE-2008-5017

    Il a été découvert qu'un arrêt dû à un bogue dans le moteur de rendu peut permettre l'exécution de code arbitraire. (MFSA 2008-52)

  • CVE-2008-5018

    Il a été découvert qu'un arrêt dû à un bogue dans le moteur Javascript peut conduire l'exécution de code arbitraire. (MFSA 2008-52)

  • CVE-2008-5021

    Il a été découvert qu'un arrêt dû à un bogue dans nsFrameManager peut conduire à l'exécution de code arbitraire. (MFSA 2008-55)

  • CVE-2008-5022

    "moz_bug_r_a4" a découvert que le test de même origine dans nsXMLHttpRequest::NotifyEventListeners() peut être contourné. (MFSA 2008-56)

  • CVE-2008-5024

    Chris Evans a découvert que les caractères guillemet ne sont pas correctement échappés dans l'espace de nommage par défaut des documents E4X. (MFSA 2008-58)

  • CVE-2008-5500

    Jesse Ruderman a découvert que la structure du moteur est vulnérable aux attaques de type DoS ce qui peut conduire au déclenchement d'une corruption de la mémoire et à un dépassement d'entier. (MFSA 2008-60)

  • CVE-2008-5503

    Boris Zbarsky a découvert que les attaques de divulgation d'information pourrait être réalisées via des liaisons XBL. (MFSA 2008-61)

  • CVE-2008-5506

    Marius Schilder découvert qu'il est possible d'obtenir des données sensibles par le biais d'une requête XMLHttpRequest. (MFSA 2008-64)

  • CVE-2008-5507

    Chris Evans a découvert qu'il est possible d'obtenir des données sensibles via une URL JavaScript. (MFSA 2008-65)

  • CVE-2008-5508

    Chip Salzenberg a découvert la possibilité de faire des attaques de type hameçonnage avec des URLs contenant des espacements ou des caractères de contrôle. (MFSA 2008-66)

  • CVE-2008-5511

    Il a été découvert qu'il est possible de faire des attaques de script intersite grâce aux liaisons XBL sur un document non chargé. (MFSA 2008-68)

  • CVE-2008-5512

    Il a été découvert qu'il est possible d'exécuter du code JavaScript arbitraire avec les privilèges de chrome grâce à des vecteurs inconnus. (MFSA 2008-68)

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1. Les paquets pour architecture s390 seront disponible plus tard.

Pour la distribution stable à venir (Lenny), ces problèmes seront bientôt corrigés.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 2.0.0.19-1.

Nous vous recommandons de mettre à jour vos paquets icedove.

Corrigé dans:

Debian GNU/Linux 4.0 (etch)

Source :
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1.diff.gz
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i.orig.tar.gz
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1.dsc
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/i/icedove/mozilla-thunderbird-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/mozilla-thunderbird-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/thunderbird-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/mozilla-thunderbird_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/mozilla-thunderbird-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/thunderbird-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/thunderbird_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/thunderbird-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/thunderbird-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
http://security.debian.org/pool/updates/main/i/icedove/thunderbird-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_all.deb
Alpha:
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_alpha.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_alpha.deb
AMD64:
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_amd64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_amd64.deb
ARM:
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_arm.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_arm.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_arm.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_arm.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_arm.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_arm.deb
HP Precision:
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_hppa.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_hppa.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_i386.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_ia64.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_ia64.deb
Big-endian MIPS:
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mips.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mips.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mips.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mips.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mips.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mips.deb
Little-endian MIPS:
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mipsel.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_powerpc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/i/icedove/icedove-dev_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-typeaheadfind_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-gnome-support_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-dbg_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_sparc.deb
http://security.debian.org/pool/updates/main/i/icedove/icedove-inspector_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614i-0etch1_sparc.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.