CERT-FI haavoittuvuustiedote 125/2009

Thunderbird-sähköpostiohjelmassa haavoittuvuus

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Thunderbird-sähköpostiohjelmasta on löydetty yksi haavoittuvuus joka voi mahdollistaa komentojen mielivaltaisen suorittamisen kohdejärjestelmässä. Haavoittuvuus sijaitsee yhdessä, yleisesti käytetyssä, funktiossa (dtoa). Funktion haavoittuvuus ja siihen liittyvä yleinen hyväksikäyttömenetelmä on ollut tiedossa jo pidemmän aikaa. Samaista funktiota käytetään mm. Firefox- ja Opera-selaimissa. Näissä selaimissa funktioon liittyvä haavoittuvuus on luokiteltu kriittiseksi ja se on korjattu Firefox-selaimen versioissa 3.0.15 ja 3.5.4 sekä Opera:n versiossa 10.10.

HAAVOITTUVAT OHJELMISTOT:

• Thunderbird 2.0.0.23 ja sitä aikaisemmat versiot

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä Thunderbird-sähköpostiohjelma versioon 2.0.0.24 tai 3.0.
Thunderbird 2.0.0.24 ei vielä ole saatavilla. Valmistaja suosittelee siirtymistä versioon 3.0 mikäli mahdollista.

LISÄTIETOA:

• http://securityreason.com/achievement_securityalert/78
• CVE-2009-0689
  

PÄIVITYSHISTORIA:

12.12.2009, kello 20.16: Julkaistu

Sivua päivitetty 14.12.2009

Tulostusversio