KLA11116
Vulnérabilités multiples dans Mozilla Thunderbird

Plusieurs vulnérabilités sérieuses ont été trouvées dans Mozilla Thunderbird. Les utilisateurs malveillants peuvent exploiter ces vulnérabilités pour contourner les restrictions de sécurité, provoquer un déni de service, effectuer des scripts inter-sites et exécuter du code arbitraire.

Voici une liste complète des vulnérabilités:

1. Une vulnérabilité d'utilisation après libération liée à l'API Fetch peut être exploitée à distance pour provoquer un déni de service;
2. Une vulnérabilité d'utilisation après libération liée aux éléments ARIA (Accessible Rich Internet Applications) peut être exploitée à distance pour provoquer un déni de service;
3. Une vulnérabilité use-after-free peut être exploitée pour provoquer un déni de service;
4. Une vulnérabilité de débordement de tampon liée à la bibliothèque graphique ANGLE peut être exploitée afin de provoquer un déni de service;
5. Une vulnérabilité d'utilisation après libération liée à TLS 1.2 d peut être exploitée à distance pour provoquer un déni de service;
6. Une vulnérabilité liée à blob: et data: les URL peuvent être exploitées à distance pour contourner les restrictions de sécurité;
7. Une vulnérabilité liée au rendu de certaines polices OS X peut être exploitée à distance pour contourner les restrictions de sécurité;
8. Une vulnérabilité liée à la directive sandbox de la stratégie de sécurité du contenu (CSP) peut être exploitée à distance pour effectuer des scripts intersites;
9. Les failles de corruption de mémoire multiples qui se produisent à cause de bogues de sécurité de la mémoire peuvent être exploitées à distance pour exécuter du code arbitraire.

Détails techniques

Vulnérabilité (2) affecte seulement Firefox pour Android. Les autres systèmes d'exploitation ne sont pas affectés.

La vulnérabilité (3) survient en mode conception lors du redimensionnement des images.

Vulnérabilité (7) affecte uniquement le système d'exploitation OS X. Les autres systèmes d'exploitation ne sont pas affectés.

NB: Toutes les vulnérabilités ne sont pas déjà notées CVSS, de sorte que la notation CVSS cumulative peut ne pas être représentative.

NB: VENDOR vient de réserver des numéros CVE pour ces vulnérabilités. L'information peut être changée bientôt.

Les versions de Mozilla Thunderbird antérieures à 52.4

Mettre à jour à la dernière version
Télécharger Mozilla Thunderbird

Mozilla Foundation Security Advisory 2017-23

CVE-2017-7810
CVE-2017-7823
CVE-2017-7825
CVE-2017-7814
CVE-2017-7805
CVE-2017-7824
CVE-2017-7819
CVE-2017-7818
CVE-2017-7793