Amazon Linux 2: thunderbird(ALAS-2020-1468)

high Nessus プラグイン ID 138857

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている thunderbird のバージョンは、68.9.0-1 より前のものです。したがって、ALAS2-2020-1468 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

Thunderbird が IMAP サーバーに対して STARTTLS を使用するように構成されており、サーバーが PREAUTH 応答を送信する場合、Thunderbird は暗号化されていない接続で続行され、メールデータが保護されずに送信されます。（CVE-2020-12398）

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

悪意のあるページを閲覧すると、SharedWorkerService に競合状態が発生し、悪用可能なクラッシュを引き起こす可能性があります。（CVE-2020-12405）

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

Mozilla 開発者の Iain Ireland 氏は、ボックス化されていないオブジェクトの削除中にタイプチェックがなく、クラッシュしていたことを発見しました。十分な労力をもってすれば、これを悪用し、任意のコードを実行することが可能と考えられます。
(CVE-2020-12406)

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

Mozilla開発者が、Firefox 76およびFirefox ESR 68.8に存在するメモリの安全性に関するバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2020-12410)

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

JavaScript オブジェクトの ValueTag に関する混乱により、オブジェクトがタイプバリアを通過し、メモリ破損と悪用可能なクラッシュを引き起こす可能性があります。（CVE-2020-12417）

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

URL オブジェクトの個別の部分を操作することで、領域外読み取りが発生し、プロセスメモリが悪意のある JavaScript に漏洩する可能性があります。（CVE-2020-12418）

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

親プロセスのウィンドウフラッシュ中に発生するコールバックを処理する際に、関連するウィンドウが機能しなくなる可能性があります。メモリ解放後使用（Use After Free）状態を引き起こします。これにより、メモリ破損と悪用可能なクラッシュが発生する可能性がありました。（CVE-2020-12419）

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

STUN サーバーに接続しようとする際に、競合状態によってポインターの use-after-free が引き起こされ、メモリ破損や悪用可能なクラッシュが引き起こされる可能性があります。（CVE-2020-12420）

Mozilla Foundationセキュリティアドバイザリでは、この欠陥が次のように説明されています:

アドオンの更新を実行すると、non-built-in-root で終端する証明書チェーンが拒否されます（管理者が正当に追加したものであっても）。これにより、に通知することなく、アドオンがサイレントに期限切れになった可能性があります。可能性があります。（CVE-2020-12421）

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。