Amazon Linux 2：thunderbird（ALAS-2020-1496）

high Nessus プラグイン ID 141108

Language:

概要

リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされているテスト済み製品のバージョンは、テスト済みバージョンより前です。したがって、ALAS2-2020-1496のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- about:blankウィンドウのeval()関数への参照を保持することにより、悪意のあるWebページがInstallTriggerオブジェクトにアクセスし、ユーザーに拡張機能のインストールを促す可能性があります。ユーザーの混乱と相まって、意図しない拡張機能や悪意のある拡張機能がインストールされる可能性があります。この脆弱性は、Firefox < 80、Thunderbird < 78.2、Thunderbird < 68.12、Firefox ESR < 68.12、Firefox ESR < 78.2、Firefox for Android < 80に影響します。（CVE-2020-15664）

- フェッチなどの操作を中止する場合、通知されるオブジェクトに警告している間に、中止シグナルが削除される場合があります。これによりuse-after-freeが発生しますが、十分な労力をもってすれば、悪用されて任意のコードが実行される可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.12とThunderbird < 68.12です。
（CVE-2020-15669）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。