Amazon Linux 2: thunderbird(ALAS-2025-2896)

medium Nessus プラグイン ID 240447

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている thunderbird のバージョンは、128.11.1-1 より前のものです。したがって、ALAS2-2025-2896 のアドバイザリに記載されている脆弱性の影響を受けます。

mailbox:/// リンクを使用する細工された HTML メールにより、自動保存が無効になっている場合でも、プロンプトなしに、ユーザーのデスクトップまたはホームディレクトリへ、要求されていない .pdf ファイルの自動ダウンロードが発生する可能性があります。この動作が悪用されると、ディスクがゴミデータで埋め尽くされたり (Linux で /dev/urandom が使用されるなど)、メールを HTML モードで表示したときに SMB リンク経由で Windows の資格情報が漏洩されたりする可能性があります。.pdf ファイルをダウンロードするにはユーザーの操作が必要ですが、視覚的な難読化によってダウンロードトリガーが隠される可能性があります。HTML モードでメールを表示するだけで、外部コンテンツをロードできます。この脆弱性は、Thunderbird < 128.11.1 および Thunderbird < 139.0.2 に影響します。(CVE-2025-5986)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。