リモートの CentOS Linux 7 ホストにインストールされているパッケージは、RHSA-2021:0297 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - STARTTLS 接続セットアップの平文段階で、プロトコルコマンドが暗号化されたセッション内で注入および評価される可能性がありました。この脆弱性の影響を受けるのは、Thunderbird < 78.7 です。
    (CVE-2020-15685)

  - HTTPSページがHTTPページに埋め込まれており、前者に対して登録されたサービスワーカーがある場合、(安全でない)フレーミングにより、iframeは安全なコンテキストではないにもかかわらず、サービスワーカーが安全なページに対するリクエストを傍受する可能性があります。この脆弱性の影響を受けるのは、Firefox < 84です。(CVE-2020-26976)

  - ユーザーが特別に細工された PDF をクリックすると、その情報がチャンクデータとして提供されている場合、PDF リーダーは混乱してクロスオリジンの情報を漏洩する可能性があります。この脆弱性の影響を受けるのは、Firefox < 85、Thunderbird < 78.7、Firefox ESR < 78.7です。(CVE-2021-23953)

  - JavaScript の switch ステートメントで新しい論理割り当て演算子を使用すると、型の取り違えが引き起こされ、メモリ破損や悪用可能なクラッシュが引き起こされる可能性がありました。この脆弱性の影響を受けるのは、Firefox < 85、Thunderbird < 78.7、Firefox ESR < 78.7です。(CVE-2021-23954)

  - 再宣言された JavaScript 変数でガベージコレクションを実行すると、user-after-poison および悪用可能なクラッシュが引き起こされる可能性がありました。この脆弱性の影響を受けるのは、Firefox < 85、Thunderbird < 78.7、Firefox ESR < 78.7です。(CVE-2021-23960)

  - Mozilla 開発者が、Firefox 84 および Firefox ESR 78.6に存在するメモリの安全性に関するバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 85、Thunderbird < 78.7、Firefox ESR < 78.7です。(CVE-2021-23964)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

CentOS 7 : thunderbird (RHSA-2021:0297)

high Nessus プラグイン ID 208628

変更ログが見つかりません