Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 2. November 2022 ein Update bezüglich einer am 19. Oktober 2022 bekannt gewordenen Schwachstelle in Mozilla Firefox und Thunderbird veröffentlicht. Betriebssysteme UNIX, Linux, MacOS X und Windows sowie Betroffen von der Schwachstelle sind Debian Linux, Red Hat Enterprise Linux, Ubuntu Linux, SUSE Linux, Oracle Linux, Gentoo Linux, Mozilla Firefox, Mozilla Firefox ESR und Mozilla Thunderbird.

Sicherheitstipps für Mozilla Firefox und Thunderbird – Risiko: hoch

Risikostufe: 4 (Hoch) CVSS-Basiswert: 9,6 CVSS-Zeitwert: 8,3 Fernangriff: Ja
Das Common Vulnerability Scoring System (CVSS) dient der Bewertung der Verwundbarkeit von Computersystemen. Der CVSS-Standard ermöglicht es, potenzielle oder tatsächliche Sicherheitslücken anhand verschiedener Metriken zu vergleichen, um darauf aufbauend eine Prioritätenliste zur Einleitung von Gegenmaßnahmen zu erstellen. Für die Schwere einer Schwachstelle werden die Attribute „keine“, „niedrig“, „mittel“, „hoch“ und „kritisch“ verwendet. Der Basiswert bewertet die Bedingungen für einen Angriff (einschließlich Authentifizierung, Komplexität, Berechtigungen, Benutzerinteraktion) und seine Folgen. Der zeitliche Score berücksichtigt auch zeitliche Veränderungen in Bezug auf den Risikostatus. Der Schweregrad der hier diskutierten Schwachstelle wird laut CVSS mit einem Basiswert von 9,6 als „hoch“ eingestuft.

Mozilla Firefox und Thunderbird Bug: Mehrere Sicherheitslücken ermöglichen die Ausführung von Code

Firefox ist ein Open-Source-Webbrowser. ESR ist die Variante mit erweitertem Support.
Ein entfernter, anonymer Angreifer könnte mehrere Schwachstellen in Mozilla Firefox, Mozilla Firefox ESR und Thunderbird ausnutzen, um beliebigen Code auszuführen, Dateien zu manipulieren, Informationen preiszugeben, einen Denial-of-Service zu verursachen oder andere Auswirkungen zu haben.
Die Schwachstellen wurden nach dem Namenssystem Common Vulnerabilities and Exposures (CVE) mit den einzelnen Seriennummern CVE-2022-42927, CVE-2022-42928, CVE-2022-42929, CVE-2022-429321 und CVE-2022-429321 klassifiziert 42932.

Von der Schwachstelle betroffene Systeme auf einen Blick

BetriebssystemeUNIX, Linux, MacOS X, Windows
ProdukteDebian Linux (cpe:/o:debian:debian_linux)Red Hat Enterprise Linux (cpe:/o:redhat:enterprise_linux)Ubuntu Linux (cpe:/o:canonical:ubuntu_linux)SUSE Linux (cpe:/o:suse:suse_linux) Oracle Linux (cpe:/o:oracle:linux)Gentoo Linux (cpe:/o:gentoo:linux)Mozilla Firefox < 106 (cpe:/a:mozilla:firefox)Mozilla Firefox ESR < 102.4 (cpe:/a:mozilla :firefox_esr)Mozilla Thunderbird < 102.4 (cpe:/a:mozilla:thunderbird)

Allgemeine Maßnahmen zur Behebung von IT-Sicherheitslücken

Quellen für Updates, Patches und Problemumgehungen

An dieser Stelle gibt es weiterführende Links zu Informationen über Bug Reports, Security Fixes und Workarounds.
Ubuntu-Sicherheitshinweis USN-5709-1 vom 1. November 2022 (2022-11-02) Weitere Informationen finden Sie unter:
Gentoo Linux Security Advisory GLSA-202210-35 vom 31.10.2022 (01.11.2022) Weitere Informationen finden Sie unter:
Gentoo Linux Security Advisory GLSA-202210-34 vom 31.10.2022 (01.11.2022) Weitere Informationen finden Sie unter:
Debian Security Advisory DLA-3170 vom 30.10.2022 (31.10.2022) Weitere Informationen finden Sie unter
Debian Security Advisory DSA-5262 vom 27.10.2022 (28.10.2022) Weitere Informationen finden Sie unter:
Oracle Linux Security Advisory ELSA-2022-7184 vom 27.10.2022 (27.10.2022) Weitere Informationen finden Sie unter:
Oracle Linux Security Advisory ELSA-2022-7178 vom 27.10.2022 (27.10.2022) Weitere Informationen finden Sie unter:
Oracle Linux Security Advisory ELSA-2022-7190 vom 27.10.2022 (27.10.2022) Weitere Informationen finden Sie unter:
Oracle Linux Security Advisory ELSA-2022-7069 vom 27.10.2022 (27.10.2022) Weitere Informationen finden Sie unter:
SUSE-Sicherheitsupdate SUSE-SU-2022:3726-1 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Oracle Linux Security Advisory ELSA-2022-7070 vom 26.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7178 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7181 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7184 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7182 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7183 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
SUSE-Sicherheitsupdate SUSE-SU-2022:3719-1 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7190 vom 25.10.2022 (26.10.2022) Weitere Informationen finden Sie unter:
Mozilla Security Advisory MFSA2022-46 vom 25.10.2022 (25.10.2022) Weitere Informationen finden Sie unter:
SUSE-Sicherheitsupdate SUSE-SU-2022:3698-1 vom 24.10.2022 (25.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7066 vom 20.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7070 vom 20.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7072 vom 20.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7071 vom 20.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7069 vom 20.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Red Hat Security Advisory RHSA-2022:7068 vom 20.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Oracle Linux Security Advisory ELSA-2022-7071 vom 21.10.2022 (21.10.2022) Weitere Informationen finden Sie unter:
Debian-Sicherheitsempfehlung DSA-5259 vom 20.10.2022 (20.10.2022) Weitere Informationen finden Sie unter
Debian-Sicherheitsempfehlung DLA-3156 vom 20.10.2022 (20.10.2022) Weitere Informationen finden Sie unter:
Mozilla Security Advisory MFSA2022-44 vom 18.10.2022 (19.10.2022) Weitere Informationen finden Sie unter:
Mozilla Security Advisory MFSA2022-45 vom 18.10.2022 (19.10.2022) Weitere Informationen finden Sie unter:

Versionsverlauf dieses Sicherheitshinweises

Dies ist die 10. Version dieses IT-Sicherheitshinweises für Mozilla Firefox und Thunderbird. Wenn weitere Aktualisierungen angekündigt werden, wird dieser Text aktualisiert. Sie können die vorgenommenen Änderungen anhand der folgenden Versionshistorie nachvollziehen.
02.11.2022 – Neue Ubuntu-Updates enthalten 01.11.2022 – Neue Gentoo-Updates enthalten 31.10.2022 – Neue Debian-Updates enthalten 28.10.2022 – Neue Debian-Updates enthalten 27.10.2022 – Neue Oracle Linux-Updates enthalten 26.10.2022 – Neue Updates für SUSE, Oracle Linux und Red Hat enthalten 25.10.2022 – Neue Updates von Mozilla und SUSE 21.10.2022 – Neue Updates von Red Hat und Oracle Linux…