Description
Plusieurs vulnérabilités sérieuses ont été trouvées dans Mozilla Thunderbird. Les utilisateurs malveillants peuvent exploiter ces vulnérabilités pour provoquer un déni de service, obtenir des privilèges, exécuter du code arbitraire, lire et écrire des fichiers locaux.
Voici une liste complète des vulnérabilités:
- Une vulnérabilité use-after-free dans SMIL peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité use-after-free lors du traitement des transactions dans l'éditeur peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité d'écriture hors limites dans la bibliothèque Graphite 2 peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité d'écriture hors limite dans le décodage Base64 dans la bibliothèque NSS (Network Security Services) peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité de débordement de tampon dans WebGL peut être exploitée à distance pour provoquer un déni de service;
- Vulnérabilité de confusion d'origine liée au rechargement de données isolées: l'URL text / html peut être exploitée à distance pour exécuter une attaque XSS (cross-site scripting);
- Une vulnérabilité use-after-free lors du traitement de focus peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité use-after-free dans la sélection d'entrée de texte peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité use-after-free dans la sélection de trames peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité use-after-free dans nsAutoPtr lors du traitement XSLT peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité use-after-free dans txExecutionState destructor liée au traitement XSLT peut être exploitée à distance pour provoquer un déni de service;
- La vulnérabilité use-after-free dans nsTArray Length () pendant le traitement XSLT peut être exploitée à distance pour provoquer un déni de service;
- La vulnérabilité d'utilisation après libération avec sélection pendant les événements de défilement peut être exploitée à distance pour provoquer un déni de service;
- La vulnérabilité «use-after-free» lors des changements de style lors de la manipulation d'éléments DOM peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité de corruption de mémoire avec l'accessibilité et la manipulation DOM peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité d'écriture hors limite lors du décodage BinHex peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité de débordement de tampon lors de l'analyse d'un contenu au format application / http-index peut être exploitée à distance pour provoquer un déni de service ou obtenir une information sensible;
- Une vulnérabilité de lecture hors limites lorsque des trames HTTP / 2 DATA sont envoyées avec des données incorrectes peut être exploitée à distance pour provoquer un déni de service;
- Une vulnérabilité de lecture hors limites lors du traitement de glyphes peut être exploitée à distance pour provoquer un déni de service ou obtenir une information sensible;
- Une vulnérabilité de lecture hors limites lors du traitement du contenu SVG dans ConvolvePixel et pendant le traitement des glyphes peut être exploitée à distance pour provoquer un déni de service ou obtenir des informations sensibles;
- Plusieurs vulnérabilités de lecture hors limites dans la bibliothèque Libevent peuvent être exploitées à distance pour provoquer un déni de service;
- Les débordements de tampon potentiels multiples dans le code généré par flex peuvent être exploités à distance pour éventuellement provoquer un déni de service;
- Plusieurs vulnérabilités de corruption de la mémoire, dues à des bogues de sécurité de la mémoire, peuvent être exploitées à distance pour exécuter du code arbitraire;
- Une corruption de mémoire potentielle survenant lors du dessin du contenu Skia en dehors des limites d'une région de découpage peut être exploitée à distance, probablement pour provoquer un déni de service;
- Une mauvaise gestion de l'échappement sandbox peut être exploitée à distance via le sélecteur de fichiers via des chemins relatifs pour contourner les restrictions de sécurité et obtenir des privilèges (accès en lecture seule au système de fichiers local);
- Une vulnérabilité inconnue peut être exploitée à distance via l'interaction de l'utilisateur sur la barre d'adresse et l'événement onblur pour spoof addressbar;
- Un traitement incorrect des mises en page et des manipulations du texte unicode bidirectionnel combiné aux animations CSS peut être exploité à distance pour provoquer un déni de service;
- Une vulnérabilité liée au contenu de l'application d'analyse / au format http-index peut être exploitée à distance, peut-être pour provoquer un déni de service ou exécuter du code arbitraire;
- Une génération incorrecte de numéros DRBG dans la bibliothèque NSS (Network Security Services) peut être exploitée à distance, peut-être pour provoquer un déni de service ou exécuter du code arbitraire.
NB: Cette vulnérabilité n'a pas d'évaluation CVSS publique, donc la notation peut être changée par le temps.
NB: À ce moment, Mozilla a réservé des numéros CVE pour ces vulnérabilités. L'information peut être changée bientôt.
Fiches de renseignement originales
Liste CVE
En savoir plus
Découvrez les statistiques de la propagation des vulnérabilités dans votre région statistics.securelist.com
Vous avez trouvé une inexactitude dans la description de cette vulnérabilité ? Faites-le nous savoir !