S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 20 novembre 2007 No CERTA-2007-AVI-505

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Mozilla Thunderbird

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• déni de service à distance ;
• contournement de la politique de sécurité.

2 Systèmes affectés

• Les versions antérieures à 2.0.0.9.

3 Résumé

Plusieurs vulnérabilités mentionnées par ailleurs dans l'avis CERTA-2007-AVI-446 ont été corrigés dans une nouvelle version de Mozilla Thunderbird.

4 Description

Le CERTA a présenté dans l'avis CERTA-2007-AVI-446 plusieurs vulnérabilités associées aux produits Mozilla. Celles-ci ont été officiellement corrigées dans la version 2.0.0.9 de Mozilla Thunderbird. Elles concernent une mauvaise gestion des URI (Uniform Resource Identifier) et un dysfonctionnement pouvant provoquer une corruption de la mémoire.

5 Solution

Se référer aux bulletins de sécurité de l'éditeur Mozilla pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Document du CERTA CERTA-2007-AVI-446 du 19 octobre 2007 :

  http://www.certa.ssi.gouv.fr/site/CERTA-2007-AVI-446/index.html
  

• Bulletin de sécurité de la fondation Mozilla MFSA2007-29 du 18 octobre 2007 :

  http://www.mozilla.org/security/announce/2007/mfsa2007-29.html
  

• Bulletin de sécurité de la fondation Mozilla MFSA2007-36 du 18 octobre 2007 :

  http://www.mozilla.org/security/announce/2007/mfsa2007-36.html
  

• Référence CVE CVE-2007-4841 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4841
  

• Référence CVE CVE-2007-AVI-5339 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-AVI-5339
  

• Référence CVE CVE-2007-5340 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-5340
  

Gestion détaillée du document

20 novembre 2007

version initiale.