L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de Thunderbird : multiples vulnérabilités

Synthèse de la vulnérabilité 

Plusieurs vulnérabilités ont été annoncées dans Thunderbird, dont la plus grave permet d'exécuter du code avec les droits de l'utilisateur.
Logiciels impactés : Debian, Fedora, Mandriva Linux, Thunderbird, RHEL, Slackware, TurboLinux.
Gravité de cette vulnérabilité informatique : 4/4.
Nombre de vulnérabilités dans ce bulletin : 7.
Date de création : 02/07/2008.
Références de cette annonce : BID-30038, CERTA-2002-AVI-189, CERTA-2008-AVI-350, CVE-2008-2798, CVE-2008-2799, CVE-2008-2802, CVE-2008-2803, CVE-2008-2807, CVE-2008-2809, CVE-2008-2811, DSA-1615-1, DSA-1621-1, FEDORA-2008-6706, FEDORA-2008-6737, MDVSA-2008:155, MDVSA-2008:155-1, MFSA 2008-21, MFSA 2008-24, MFSA 2008-25, MFSA 2008-26, MFSA 2008-29, MFSA 2008-31, MFSA 2008-33, RHSA-2008:0616-01, SSA:2008-210-05, TLSA-2008-30, VIGILANCE-VUL-7924, VU#607267.

Description de la vulnérabilité 

Plusieurs vulnérabilités de Thunderbird ont été annoncées.

Un attaquant peut corrompre la mémoire afin de faire exécuter du code. [grav:4/4; CERTA-2008-AVI-350, CVE-2008-2798, CVE-2008-2799, MFSA 2008-21]

Un attaquant peut faire exécuter un script Chrome via un fichier "fastload". [grav:4/4; CVE-2008-2802, MFSA 2008-24]

Un attaquant peut faire exécuter du code via mozIJSSubScriptLoader.loadSubScript(). [grav:4/4; CVE-2008-2803, MFSA 2008-25]

Plusieurs fonctions MIME gèrent incorrectement les buffers, ce qui peut conduire à des débordements. [grav:1/4; MFSA 2008-26]

Un fichier ".properties" malformé provoque l'utilisation de mémoire non initialisée. [grav:2/4; CVE-2008-2807, MFSA 2008-29]

Le nom alternatif des certificats peut être utilisé pour usurper un site (VIGILANCE-VUL-7351). [grav:1/4; CVE-2008-2809, MFSA 2008-31]

Un attaquant peut exécuter du code lorsqu'un bloc est redessiné. [grav:4/4; CVE-2008-2811, MFSA 2008-33, VU#607267]
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette alerte sécurité concerne les logiciels ou systèmes comme Debian, Fedora, Mandriva Linux, Thunderbird, RHEL, Slackware, TurboLinux.

Notre équipe Vigil@nce a déterminé que la gravité de ce bulletin cybersécurité est critique.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Ce bulletin concerne 7 vulnérabilités.

Un attaquant avec un niveau de compétence expert peut exploiter cet avis de vulnérabilité informatique.

Solutions pour cette menace 

Thunderbird : version 2.0.0.16.
La version 2.0.0.16 est corrigée :
  http://www.mozilla.com/en-US/thunderbird/all.html

Debian : nouveaux paquetages icedove.
De nouveaux paquetages sont disponibles :
http://security.debian.org/pool/updates/main/i/icedove/icedove*_1.5.0.13+1.5.0.15b.dfsg1+prepatch080614d-0etch1_*.deb

Debian : nouveaux paquetages xulrunner.
De nouveaux paquetages sont disponibles :
  http://security.debian.org/pool/updates/main/x/xulrunner/*_1.8.0.15~pre080614d-0etch1_*.deb

Fedora : nouveaux paquetages thunderbird.
De nouveaux paquetages sont disponibles :
thunderbird-2.0.0.16-1.fc8
thunderbird-2.0.0.16-1.fc9

Mandriva : nouveaux paquetages mozilla-thunderbird.
De nouveaux paquetages sont disponibles :
Mandriva Linux 2008.0:
  mozilla-thunderbird-2.0.0.16-1mdv2008.0
  mozilla-thunderbird-l10n-2.0.0.16-1mdv2008.0
  mozilla-thunderbird-moztraybiff-1.2.3-4.1mdv2008.0
  mozilla-thunderbird-enigmail-l10n-2.0.0.16-1mdv2008.0
Mandriva Linux 2008.1:
  mozilla-thunderbird-2.0.0.16-1mdv2008.1
  mozilla-thunderbird-l10n-2.0.0.16-1mdv2008.1
  mozilla-thunderbird-moztraybiff-1.2.3-4.1mdv2008.1
  mozilla-thunderbird-enigmail-l10n-2.0.0.16-1mdv2008.1
 Corporate 3.0:
  mozilla-thunderbird-enigmail-l10n-2.0.0.16-0.1.C30mdk
  mozilla-thunderbird-l10n-2.0.0.16-0.1.C30mdk

RHEL 4, 5 : nouveaux paquetages thunderbird.
De nouveaux paquetages sont disponibles :
Red Hat Enterprise Linux version 4: thunderbird-1.5.0.12-14.el4
Red Hat Enterprise Linux version 5: thunderbird-2.0.0.16-1.el5

Slackware : nouveaux paquetages mozilla-thunderbird.
De nouveaux paquetages sont disponibles :
Slackware 10.2:
ftp://ftp.slackware.com/pub/slackware/slackware-10.2/patches/packages/mozilla-thunderbird-2.0.0.16-i686-1.tgz
Slackware 11.0:
ftp://ftp.slackware.com/pub/slackware/slackware-11.0/patches/packages/mozilla-thunderbird-2.0.0.16-i686-1.tgz
Slackware 12.0:
ftp://ftp.slackware.com/pub/slackware/slackware-12.0/patches/packages/mozilla-thunderbird-2.0.0.16-i686-1.tgz
Slackware 12.1:
ftp://ftp.slackware.com/pub/slackware/slackware-12.1/patches/packages/mozilla-thunderbird-2.0.0.16-i686-1.tgz

TurboLinux : nouveaux paquetages thunderbird.
De nouveaux paquetages sont disponibles :
thunderbird-2.0.0.16-1.i686.rpm
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit un bulletin de vulnérabilités informatiques. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications.