Säkerhetsbulletin från Debian
DSA-2588-1 icedove -- flera sårbarheter
- Rapporterat den:
- 2012-12-16
- Berörda paket:
- icedove
- Sårbara:
- Ja
- Referenser i säkerhetsdatabaser:
- I Mitres CVE-förteckning: CVE-2012-4201, CVE-2012-4207, CVE-2012-4216, CVE-2012-5829, CVE-2012-5842.
- Ytterligare information:
-
Flera sårbarheter har upptäckts i Icedove, Debians version av mail och nyhetsklienten Mozilla Thunderbird.
- CVE-2012-4201
Implementationen av evalInSandbox använder en felaktig kontext under hanterandet av JavaScript som sätter egenskapen location.href, vilket tillåter fjärrangripare att utföra domänöverskridande skriptangrepp (XSS) eller läsa godtyckliga filer genom att utnyttja en begränsad tilläggsmodul.
- CVE-2012-4207
Implementationen av teckensnitt HZ-GB-2312 hanterar inte ett ~ (tilde)- tecken korrekt i närhet av en chunk-avgränsare, vilket tillåter fjärrangripare att utföra domänöverskridande skriptanggrepp (XSS) via ett skapat dokument.
- CVE-2012-4216
En användning-efter-frigörningssårbarhet i funktionen gfxFont::GetFontEntry tillåter fjärrangripare att exekvera godtycklig kod eller orsaka en överbelastning (heapminneskorruption) via ospecificerade vektorer.
- CVE-2012-5829
Heap-baserat buffertspill i funktionen nsWindow::OnExposeEvent kunde tillåta fjärrangripare att exekvera godtycklig kod.
- CVE-2012-5842
Flera ospecificerade sårbarheter i webbläsarmotorn kunde tillåta fjärrangripare att orsaka en överbelastning (minneskorruption och programkrasch) eller möjligen exekvering av godtycklig kod.
För den stabila utgåvan (Squeeze) har dessa problem rättats i version 3.0.11-1+squeeze15.
För den instabila utgåvan (Sid) har dessa problem rättats i version 10.0.11-1.
Vi rekommenderar att ni uppgraderar era icedove-paket.
- CVE-2012-4201