Açıklama
Thunderbird'de birden fazla ciddi güvenlik açığı bulundu. Kötü niyetli kullanıcılar bu güvenlik açıklarından yararlanabilir ve hizmet reddine neden olabilir, güvenlik sınırlamalarını aşarak isteğe bağlı kodu çalıştırabilir, hassas bilgiler edinebilir ve kullanıcı arabirimi sızdırabilir.
Aşağıda güvenlik açıklarının tam listesi:
- WebSockets'ta kullanım sonrası bir güvenlik açığı hizmet reddine neden olmak için uzaktan kullanılabilir;
- Pencere yeniden boyutlandırma sırasında bir seçim çerçevesi öğesi için yeniden hesaplama yapısına ilişkin bir kullanım sonrası serbest açığı hizmet reddine neden olmak için uzaktan kullanılabilir;
- Ağaç geçişi sırasında bir editör DOM düğümünün zamansız bir şekilde kaldırılmasıyla ilgili olarak kullanımı sonrası bir güvenlik açığı hizmet reddine neden olmak için uzaktan kullanılabilir.
- Çerçeve rekonstrüksiyonu sırasında bir görüntü gözlemcisinin okunmasıyla ilgili bir kullanım sonrası serbest açığı, hizmet reddine neden olmak için uzaktan kullanılabilir;
- Bir resim öğesinin yeniden boyutlandırma olayı sırasında DOM'ın işlenmesinden kaynaklanan kullanımı-ücretsiz-sonrası bir güvenlik açığı, hizmet reddine neden olmak için uzaktan kullanılabilir;
- Accessible Rich Internet Applications'ta (ARIA) bir arabellek taşması güvenlik açığı hizmet reddine neden olmak için uzaktan kullanılabilir;
- Görüntü oluşturucu ile görüntülenemeyen SVG öğeleri boyamaya çalışan bir arabellek taşması güvenlik açığı hizmet reddine neden olmak için uzaktan kullanılabilir.
- Sahte öğelere stil kurallarını uyguladıktan sonra sınırların okunmamış bir güvenlik açığı, hizmet reddine neden olmak veya hassas bilgiler elde etmek için muhtemelen kullanılabilir.
- Gömülü iframe'leri olan sayfalarda uygunsuz bir politika koruması, hassas bilgiler elde etmek için uzaktan kullanılabilir.
- AppCache mekanizmasındaki etki alanındaki bir alt yoldan dosyaların sunulması, güvenlik kısıtlamalarını atlamak için uzaktan kullanılabilir.
- Sertifika yöneticisinde bir sertifikanın görüntülenmesiyle ilgili bir arabellek taşması güvenlik açığı hizmet reddine neden olmak için uzaktan kullanılabilir.
- WindowsDllDetourPatcher'daki birden çok güvenlik açığı güvenlik kısıtlamalarını atlamak için uzaktan kullanılabilir.
- Verilerdeki bilinmeyen bir güvenlik açığı: Protokol kullanıcı arabirimine sayfa gezinmesini takiben rasgele etki alanlarına göre kalıcı bir uyarı oluşturmak suretiyle uzaktan kullanılabilir.
- İçerik güvenliği politikasının (CSP) yanlış uygulanması, bilinmeyen bir etkiden yararlanılabilir;
- Mozilla Thunderbird 52.2'deki çoklu bellek bozulması güvenlik açıkları, keyfi kod çalıştırmak için uzaktan kullanılabilir.
Teknik detaylar
Güvenlik açığı (12) Windows işletim sistemlerini etkiler. Diğer işletim sistemleri etkilenmez.
Not: Bu güvenlik açıkları, herhangi bir genel CVSS derecelendirmesine sahip değildir, bu nedenle değerlendirme zamana göre değiştirilebilir.
Not: Bu anda Mozilla, bu güvenlik açıkları için CVE numaralarını rezerve etti. Bilgi yakında değiştirilebilir.
Orijinal öneriler
CVE Listesi
Daha fazlasını okuyun
Bölgenizde yayılan güvenlik açıklarının istatistiklerini öğrenin statistics.securelist.com