BDU:2015-00708 (CVE-2014-1565) — уязвимость программного обеспечения Thunderbird

По данным БДУ ФСТЭК России, по состоянию на 28.11.2016.

Уязвимость существует в функции mozilla:dom:AudioEventTimeline в реализации Web Audio API в Mozilla Firefox, Firefox ESR и Thunderbird из-за некорректного создания временной шкалы аудиоданных. Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, получить доступ к конфиденциальной информации из памяти процесса или вызвать отказ в обслуживании (чтение за пределами границ), используя специально сформированные вызовы API.

Кого касается и что делать

• Уязвимое ПО: Thunderbird (Mozilla) — версии от 31.0 до 31.1
• Что делать: применить компенсирующие меры (см. раздел мер ниже)

Сведения об уязвимости

Идентификаторы	BDU:2015-00708 · CVE-2014-1565
Уровень опасности	Средний (базовая оценка CVSS 2.0 — 5.0)
Вектор CVSS 2.0	AV:N/AC:L/Au:N/C:P/I:N/A:N атака по сети, низкая сложность, без аутентификации, частичное влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость программного обеспечения Thunderbird, позволяющая удаленному злоумышленнику нарушить конфиденциальность защищаемой информации
Даты	Опубликована: 06.07.2016 · Обновлена ФСТЭК: 28.11.2016 · Выявлена: 03.09.2014
Статус уязвимости	Потенциальная уязвимость (наличие не подтверждено производителем, сведения проверяются)
Наличие эксплойта	Данные уточняются
Информация об устранении	Информация об устранении отсутствует (готового исправления на момент публикации нет)
Тип ошибки	CWE-119 — выход операции за границы буфера в памяти
Способ эксплуатации	манипулирование структурами данных

Уязвимое ПО

• Thunderbird (Mozilla) — от 31.0 до 31.1 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

• Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу
• www.mozilla.org/firefox/
• www.mozilla.org/firefox/organizations/all.html
• www.mozilla.org/thunderbird/

Источники

• cve.mitre.org/cgi-bin/cvename.cgi
• www.mozilla.org/security/announce/2014/mfsa2014-70.html