Säkerhetsinformation / 2012 / Säkerhetsinformation -- DSA-2464-2 icedove

Säkerhetsbulletin från Debian

DSA-2464-2 icedove -- flera sårbarheter

Rapporterat den:

2012-05-08

Berörda paket:

icedove

Sårbara:

Ja

Referenser i säkerhetsdatabaser:

I Debians felrapporteringssystem: Fel 671408, Fel 671410.
I Mitres CVE-förteckning: CVE-2012-0467, CVE-2012-0470, CVE-2012-0471, CVE-2012-0477, CVE-2012-0479.

Ytterligare information:

Flera sårbarheter har upptäckts i Icedove, en omärkt version av e-post- och nyhetsklienten Thunderbird.

• CVE-2012-0467

  Bob Clary, Christian Holler, Brian Hackett, Bobby Holley, Gary Kwong, Hilary Hall, Honza Bambas, Jesse Ruderman, Julian Seward, och Olli Pettay upptäckte minneskorruptionsfel som kan leda till körning av godtycklig kod.

• CVE-2012-0470

  Atte Kettunen upptäckte att ett minneskorruptionsfel i gfxImageSurface kan leda till körning av illasinnad kod.

• CVE-2012-0471

  Anne van Kesteren upptäckte att felaktig kodning av multibyte-tecken kan leda till domänöverskridande skriptangrepp.

• CVE-2012-0477

  Masato Kinugawa upptäckte att felaktig kodning av Koreanska och Kinesiska tecken kan leda till domänöverskridande skriptangrepp.

• CVE-2012-0479

  Jeroen van der Gun upptäckte en förfalskningssårbarhet i presentationen av Atom och RSS-flöden över HTTPS.

För den stabila utgåvan (Squeeze) har detta problem rättats i version 3.0.11-1+squeeze10.

För den instabila utgåvan (Sid) kommer detta problem att rättas inom kort.

Vi rekommenderar att ni uppgraderar era icedove-paket.