Sikkerhedsoplysninger / 2011 / Sikkerhedsoplysninger -- DSA-2235-1 icedove

Debians sikkerhedsbulletin

DSA-2235-1 icedove -- flere sårbarheder

Rapporteret den:

10. maj 2011

Berørte pakker:

icedove

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2011-0065, CVE-2011-0066, CVE-2011-0067, CVE-2011-0069, CVE-2011-0070, CVE-2011-0071, CVE-2011-0072, CVE-2011-0073, CVE-2011-0074, CVE-2011-0075, CVE-2011-0077, CVE-2011-0078, CVE-2011-0080, CVE-2011-0081.

Yderligere oplysninger:

Flere sårbarheder er opdaget i Icedove, en mærkevarefri udgave af mail-/news-klienten Thunderbird.

• CVE-2011-0069 CVE-2011-0070 CVE-2011-0072 CVE-2011-0074 CVE-2011-0075 CVE-2011-0077 CVE-2011-0078 CVE-2011-0080 CVE-2011-0081

  Scoobidiver, Ian Beer Bob Clary, Henri Sivonen, Marco Bonardo, Mats Palmgren, Jesse Ruderman, Aki Kelin og Martin Barbella opdagede hukommelseskorruptionsfejl, der kunne føre til udførelse af vilkårlig kode.

• CVE-2011-0065 CVE-2011-0066 CVE-2011-0073

  regenrecht opdagede flere hængende pointer-sårbarheder, der måske kunne føre til udførelse af vilkårlig kode.

• CVE-2011-0067

  Paul Stone opdagede at Java-applets kunne stjæle oplysninger fra autofuldførelseshistorikken.

• CVE-2011-0071

  Soroush Dalili opdagede en mappegennemløbssårbarhed i håndteringen af ressource-URI'er.

Som angivet i udgivelsesbemærkningerne til Lenny (oldstable), var det nødvendigt at lade sikkerhedsunderstøttelsen af Icedove-pakkerne i den gamle stabile distribution stoppe før ophøret af Lennys regulære livscyklus med sikkerhedsopdateringer. Du opfordres kraftigt til at opgradere til den stabile distribution eller skifte til en anden mailklient.

I den stabile distribution (squeeze), er dette problem rettet i version 3.0.11-1+squeeze2.

I den ustabile distribution (sid), vil dette problem snart blive rettet.

Vi anbefaler at du opgraderer dine icedove-pakker.