Amazon Linux 2：thunderbird（ALAS-2019-1376）
high Nessus プラグイン ID 132264
言語:
概要
リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。説明
メモリの安全性に関するいくつかのバグがMozilla FirefoxおよびThunderbirdで発見されました。これらの脆弱性により、メモリ破損および任意のコード実行の可能性があります。これらのバグはネットワーク上で悪用される可能性があります。（CVE-2019-11764）HMAC出力の4バイトがメモリスタックに保存されるバッファの末尾を越えて書き込まれる可能性がある欠陥が、FirefoxとThunderbirdの両方で発見されました。これにより、攻撃者が任意のコードを実行したり、クラッシュを引き起こしたりする可能性があります。この欠陥はネットワーク上で悪用される可能性があります。（CVE-2019-11759）NULLバイトがHTMLエンティティで不適切に解析される欠陥が、Mozilla FirefoxおよびThunderbirdで発見されました。これにより、Webアプリケーション内でXSSを引き起こす可能性のあるコードとして処理されるHTMLコメントまたはフィルタからマスクされるHTMLエンティティが発生する可能性があります。（CVE-2019-11763）Mozilla FirefoxおよびThunderbirdで脆弱性が発見されました。コンテンツに複製された、権限のあるJSONViewオブジェクトは、データURIを持つ形態を使用してアクセスされる可能性があります。この欠陥は既存の多層防御メカニズムをバイパスし、ネットワーク上で悪用される可能性があります。（CVE-2019-11761）WebRTCシグナル中に固定スタックバッファオーバーフローが発生する可能性のある欠陥がMozilla FirefoxおよびThunderbirdで発見されました。この脆弱性により、悪用可能なクラッシュまたはデータ漏えいが発生する可能性があります。（CVE-2019-11760）メモリ解放後使用（Use After Free）の欠陥がMozilla FirefoxおよびThunderbirdで発見されました。値のプロトタイプチェーンを追跡するとき、ロケールへの参照を保持し、削除してから参照する可能性がありました。攻撃者がこの欠陥を利用して、参照メモリに保存されているコードを実行したり、システムをクラッシュさせたりする可能性があります。（CVE-2019-11757）2.2.8より前のlibexpatでは、細工されたXML入力により、パーサーが誘導されて早い段階でDTD解析からドキュメント解析へ変更する可能性がありました。 その後、XML_GetCurrentLineNumber（またはXML_GetCurrentColumnNumber）を連続して呼び出すと、ヒープベースのオーバーリードが引き起こされました。（CVE-2019-15903） 欠陥がMozilla FirefoxおよびThunderbirdで発見され、2つの同一オリジンのドキュメントが別個のdocument.domainを設定してクロスオリジンとなった場合、now-cross-originウィンドウで任意のDOMメソッド/ゲッター/セッターを呼び出す可能性があります。これにより、同じアプリケーションの下で実行されている2つの異なるWindows上の2つの別個のサイト間で、相互作用が生じる可能性があります。（CVE-2019-11762）FirefoxおよびThunderbirdの360 Total Securityコードで欠陥が発見されました。アクセシビリティエンジンでメモリ破損の可能性があり、これを悪用して任意のコードが実行される可能性があります。この脆弱性はネットワーク接続全体で悪用され、システムの可用性だけでなく情報の機密性と整合性に影響する可能性もあります。（CVE-2019-11758）ソリューション
「yum update thunderbird」を実行してシステムを更新してください。関連情報
プラグインの詳細
深刻度: High
ID: 132264
ファイル名: al2_ALAS-2019-1376.nasl
バージョン: 1.4
タイプ: local
エージェント: unix
公開日: 2019/12/19
更新日: 2020/5/29
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
Base Score: 6.8
Temporal Score: 5
ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:P
現状ベクトル: E:U/RL:OF/RC:C
CVSS スコアのソース: CVE-2019-11764
CVSS v3
リスクファクター: High
Base Score: 8.8
Temporal Score: 7.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
現状ベクトル: E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:amazon:linux:thunderbird, p-cpe:/a:amazon:linux:thunderbird-debuginfo, cpe:/o:amazon:linux:2
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2019/12/18
脆弱性公開日: 2019/9/4
参照情報
CVE: CVE-2019-11757, CVE-2019-11758, CVE-2019-11759, CVE-2019-11760, CVE-2019-11761, CVE-2019-11762, CVE-2019-11763, CVE-2019-11764, CVE-2019-15903
ALAS: 2019-1376