Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-02078

Опубликовано: 26 янв. 2021
Источник: fstec
CVSS3: 6.5
CVSS2: 6.4
EPSS Низкий

Описание

Уязвимость почтового клиента Thunderbird связана с недостаточной проверкой вводимых данных на этапе настройки соединения IMAP STARTTLS. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и целостность защищаемой информации

Вендор

Red Hat Inc.
Сообщество свободного программного обеспечения
Novell Inc.
ООО «Ред Софт»
Canonical Ltd.
Mozilla Corp.
АО «Концерн ВНИИНС»
АО «ИВК»
АО "НППКТ"

Наименование ПО

Red Hat Enterprise Linux
Debian GNU/Linux
SUSE Linux Enterprise Workstation Extension
OpenSUSE Leap
РЕД ОС
Ubuntu
Thunderbird
ОС ОН «Стрелец»
Альт 8 СП
ОСОН ОСнова Оnyx

Версия ПО

7 (Red Hat Enterprise Linux)
9 (Debian GNU/Linux)
8 (Red Hat Enterprise Linux)
15 SP1 (SUSE Linux Enterprise Workstation Extension)
15.1 (OpenSUSE Leap)
10 (Debian GNU/Linux)
7.2 Муром (РЕД ОС)
20.10 (Ubuntu)
15 SP2 (SUSE Linux Enterprise Workstation Extension)
15.2 (OpenSUSE Leap)
8.1 Extended Update Support (Red Hat Enterprise Linux)
8.2 Extended Update Support (Red Hat Enterprise Linux)
до 78.7 (Thunderbird)
1.0 (ОС ОН «Стрелец»)
- (Альт 8 СП)
до 2.1 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7
Red Hat Inc. Red Hat Enterprise Linux 7
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.1
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «Ред Софт» РЕД ОС 7.2 Муром
Canonical Ltd. Ubuntu 20.10
Novell Inc. OpenSUSE Leap 15.2
Red Hat Inc. Red Hat Enterprise Linux 8.1 Extended Update Support
Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для программных продуктов Mozilla Corp.:
https://www.mozilla.org/en-US/security/advisories/mfsa2021-05/
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2020-15685
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2020-15685/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-15685
Для Ubuntu:
https://ubuntu.com/security/notices/USN-4736-1
Для РЕД ОС:
Установить обновления безопасности для пакетов firefox и thunderbird ( https://redos.red-soft.ru/updatesec )
Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Для ОС ОН «Стрелец»:
Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 70%
0.00622
Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 8.8
ubuntu
около 3 лет назад

During the plaintext phase of the STARTTLS connection setup, protocol commands could have been injected and evaluated within the encrypted session. This vulnerability affects Thunderbird < 78.7.

CVSS3: 8.8
redhat
около 5 лет назад

During the plaintext phase of the STARTTLS connection setup, protocol commands could have been injected and evaluated within the encrypted session. This vulnerability affects Thunderbird < 78.7.

CVSS3: 8.8
nvd
около 3 лет назад

During the plaintext phase of the STARTTLS connection setup, protocol commands could have been injected and evaluated within the encrypted session. This vulnerability affects Thunderbird < 78.7.

CVSS3: 8.8
debian
около 3 лет назад

During the plaintext phase of the STARTTLS connection setup, protocol ...

CVSS3: 8.8
github
около 3 лет назад

During the plaintext phase of the STARTTLS connection setup, protocol commands could have been injected and evaluated within the encrypted session. This vulnerability affects Thunderbird < 78.7.

EPSS

Процентиль: 70%
0.00622
Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2