Thunderbird 2.0.0.5 corrige dos vulnerabilidades

Thunderbird 2.0.0.5 corrige dos vulnerabilidades
	VSantivirus No 2499 Año 11, viernes 20 de julio de 2007 Thunderbird 2.0.0.5 corrige dos vulnerabilidades http://www.vsantivirus.com/thunderbird-190707.htm Por Angela Ruiz angela@videosoft.net.uy Mozilla ha publicado una actualización de seguridad para su producto Thunderbird 2.0.0.x. La nueva versión es identificada como Thunderbird 2.0.0.5. Thunderbird es el popular cliente de correo de la familia Mozilla. Las vulnerabilidades corregidas son compartidas con Firefox, el cuál también fue actualizado a la versión 2.0.0.5. Uno de los problemas, es el relacionado con el Internet Explorer, el cuál puede llamar un protocolo URL creado por Firefox (y Thunderbird) al instalarse. En concreto, el protocolo "firefoxurl://" puede ser utilizado con el parámetro "-chrome", para la ejecución arbitraria de JavaScript en el contexto de los archivos que contienen todos los componentes de la interfase de usuario del programa. Aunque la explotación puede realizarse a través de Internet Explorer, ello solo es posible si se ha instalado Firefox o Thunderbird en el sistema. La segunda vulnerabilidad, puede provocar que el programa deje de responder, con la probabilidad de que la memoria resulte corrupta, con lo que podría llegar a ejecutarse código de forma arbitraria. Thunderbird es vulnerable si JavaScript está habilitado en el correo electrónico. Un ataque podría ser posible a partir de un mensaje malicioso. NOTA: SeaMonkey, la suite de Internet que integra navegador web, cliente de correo electrónico, libreta de contactos, editor de páginas web y cliente de IRC, también fue actualizada a la versión 1.1.3. Últimas versiones NO vulnerables: - Thunderbird 2.0.0.5 - SeaMonkey 1.1.3 Descarga de Thunderbird 2.0.0.5 en español: http://releases.mozilla.org/pub/mozilla.org/thunderbird/releases/2.0.0.5/win32/es-ES/ Descarga de SeaMonkey 1.1.3 en español: http://releases.mozilla.org/pub/mozilla.org/seamonkey/releases /1.1.3/contrib-localized/seamonkey-1.1.3.es-ES.win32.installer.exe Referencias: MFSA 2007-23 Remote code execution by launching Firefox from Internet Explorer www.mozilla.org/security/announce/2007/mfsa2007-23.html MFSA 2007-18 Crashes with evidence of memory corruption www.mozilla.org/security/announce/2007/mfsa2007-18.html Referencias CVE: Las vulnerabilidades corregidas están relacionadas con las siguientes referencias CVE: www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3670 www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3734 www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-3735 CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano. Relacionados: Firefox 2.0.0.5 resuelve ocho vulnerabilidades http://www.vsantivirus.com/firefox-170707.htm Vulnerabilidad en Firefox explotada desde IE http://www.vsantivirus.com/vul-firefox-cve-2007-3670.htm Más información: Known Vulnerabilities in Mozilla Products www.mozilla.org/projects/security/known-vulnerabilities.html Mozilla.org Security Center www.mozilla.org/security/ (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com