リモートの Windows ホストにインストールされている Thunderbird は、128.12 より前のバージョンです。したがって、mfsa2025-55 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 実行可能ファイルの警告が、<code>terminal</code> 拡張子のファイルを開く前に、ユーザーに警告を表示していませんでした。このバグの影響を受けるのは、macOS 向けの Thunderbird のみです。Thunderbird の他のバージョンは影響を受けません。
    (CVE-2025-6426)

  - FontFaceSet の use-after-free により、悪用可能なクラッシュが発生しました。(CVE-2025-6424)

  - WebCompat 拡張からリソースを列挙する攻撃者が、ブラウザを識別する永続的な UUID を取得し、コンテナと通常/プライベートブラウジングモードの間で永続させることができましたが、プロファイルは取得できませんでした。(CVE-2025-6425)

  - Thunderbird が、<code>embed</code> タグで指定された URL を解析する際に、URL を間違って解析し、Youtube.com ドメインに書き換える可能性がありました。これにより、ユーザーが埋め込むことを許可されたドメインを制限するウェブサイトセキュリティチェックをバイパスする可能性がありました。(CVE-2025-6429)

  - <code>Content-Disposition</code> ヘッダーでファイルのダウンロードが指定されている場合、ファイルが <code><embed></code> または <code><object></code> タグで埋め込まれていると、そのディレクティブが無視され、ウェブサイトがクロスサイトスクリプティング攻撃に対して脆弱になる可能性があります。(CVE-2025-6430)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Mozilla Thunderbird < 128.12

critical Nessus プラグイン ID 241212

バージョン 1.2

バージョン 1.1

バージョン 1.2 Jul 11, 2025, 12:06 PM IAVM reference STIG Severity (set to "I") Plugin Feed: 202507111206
バージョン 1.1 Jul 3, 2025, 7:10 AM New Plugin Feed: 202507030710