BDU:2015-00071 (CVE-2014-1523) — уязвимость почтового клиента Thunderbird

По данным БДУ ФСТЭК России, по состоянию на 28.11.2016.

Программное обеспечение Mozilla Thunderbird содержит уязвимость в функции qcms_profile_from_memory, эксплуатация которой позволяет удаленному злоумышленнику выполнить произвольный код или вызвать отказ в обслуживании путем манипулирования компонентом web notification API путем создания специального ICC-профиля

Кого касается и что делать

• Уязвимое ПО: Thunderbird (Mozilla) — версии до 24.4 включительно
• Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)

Сведения об уязвимости

Идентификаторы	BDU:2015-00071 · CVE-2014-1523
Уровень опасности	Высокий (базовая оценка CVSS 2.0 — 7.8)
Вектор CVSS 2.0	AV:N/AC:M/Au:N/C:C/I:N/A:P атака по сети, средняя сложность, без аутентификации, полное влияние на конфиденциальность, частичное влияние на доступность
Наименование ФСТЭК	Уязвимость почтового клиента Thunderbird, позволяющая удаленному злоумышленнику выполнить произвольный код или вызвать отказ в обслуживании
Даты	Опубликована: 05.07.2016 · Обновлена ФСТЭК: 28.11.2016 · Выявлена: 30.04.2014
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем)
Тип ошибки	CWE-119 — выход операции за границы буфера в памяти
Класс уязвимости	Уязвимость кода

Уязвимое ПО

• Thunderbird (Mozilla) — до 24.4 включительно · прикладное ПО информационных систем

ОС и платформы

• Windows (Microsoft) — 64-bit

Возможные меры по устранению уязвимости

Обновление. Обновление программного обеспечения до версии 24.5 или выше

Источники

• www.mozilla.org/security/announce/2014/mfsa2014-37.html
• cve.mitre.org/cgi-bin/cvename.cgi