Gravedad:Alta Vulnerabilidad: CVE-2020-6831 /
CVE-2020-12387 / CVE-2020-12392 / CVE-2020-12393 / CVE-2020-12395 / CVE-2020-12397
Fecha de publicación: Mayo 11, 2020
Última revisión: Mayo 11, 2020
Portal: https://www.mozilla.org/en-US/security/advisories/mfsa2020-14/
Sistemas Afectados:
Vulnerabilidades de seguridad que afectan a todas las versiones de Mozilla
Thunderbird entre la 60.0 hasta la 60.9.1 y desde la 68.0 hasta la 68.7.
I. Descripción
Actualización de Mozilla Thunderbird referente a múltiples vulnerabilidades que
afectan a sus productos, versiones corregidas 68.8 de Mozilla Thunderbird.
II. Impacto
Vulnerabilidad: CVE-2020-6831
Debido a un error en memoria al procesar fragmentos SCTP en WebRTC, un atacante remoto podría crear una página web especialmente diseñada para que una víctima acceda a esta, enviar el error en memoria y logre vulnerar al sistema del afectado, comprometiéndole completamente.
Vulnerabilidad: CVE-2020-12387
Debido a un error de uso de memoria luego de ser liberada, causado por una condición de carrera al ejecutar el código de apagado para “Web Worker”, un atacante podría crear un sitio especialmente diseñado, para que una víctima lo visite, enviar el error en memoria y así logre comprometer completamente al sistema afectado.
Vulnerabilidad: CVE-2020-12392
Debido a que en las herramientas de desarrollador, en la pestaña “Network” la característica “Copy as Curl” no escapaba correctamente el método HTTP de una petición, la cual puede ser controlada por el sitio, si un usuario usaba esa característica y luego lo pegaba en la terminal, podía resultar en la inyección de comandos, y por ende, ejecución arbitraria de comandos, comprometiendo al sistema.
Vulnerabilidad: CVE-2020-12393
Debido a que en las herramientas de desarrollador, en la pestaña “Network” la característica “Copy as Curl” no escapaba correctamente los datos de una petición HTTP POST, la cual puede ser controlada por el sitio, si un usuario usaba esa característica y luego lo pegaba en la terminal, podía resultar en la filtración de archivos locales. Esta vulnerabilidad solo afecta a usuarios en Windows.
Vulnerabilidad: CVE-2020-12395
Debido a un error en los límites de la memoria al procesar contenido HTML, un atacante remoto podría crear una página web especialmente diseñada para que una víctima acceda a esta, enviar el error en memoria y logre vulnerar al sistema del afectado, comprometiéndole completamente.
Vulnerabilidad: CVE-2020-12397
Debido al incorrecto procesamiento de dirección de correo emisoras, un atacante remoto podría suplantar la dirección email utilizando caracteres Unicode codificados y así, engañar a una víctima haciéndola pensar que recibió un correo de otro usuario.
III. Referencia a soluciones, herramientas e información
Actualizar a la versión 68.8 de Mozilla Thunderbird, mediante su sitio web (https://www.thunderbird.net/en-US/thunderbird/releases/)
Fuentes:
- Mozilla Oficial. Recopilado en: https://www.mozilla.org/en-US/security/advisories/mfsa2020-18/
- Common Vulnerabilities and Exposures (CVE). Recopilado en: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-6831
- Common Vulnerabilities and Exposures (CVE). Recopilado en: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12387
- Common Vulnerabilities and Exposures (CVE). Recopilado en: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12392
- Common Vulnerabilities and Exposures (CVE). Recopilado en: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12393
- Common Vulnerabilities and Exposures (CVE). Recopilado en: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12395
- Common Vulnerabilities and Exposures (CVE). Recopilado en: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-12397
- CSIRT Chile. 9 de mayo del 2020. Vulnerabilidades. Recopilado en: https://www.csirt.gob.cl/vulnerabilidades/9vsa20-00207-01/
Información de contacto
CSIRT PANAMA
Computer Security Incident Response Team Autoridad Nacional para la Innovacion
Gubernamental
E-Mail: info@cert.pa
Phone: +507 520-CERT (2378)
Web: https://cert.pa
Twitter: @CSIRTPanama
Key ID: 16F2B124