Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の thunderbird

high Nessus プラグイン ID 60873

Language:

概要

リモート Scientific Linux ホストに、セキュリティ更新がありません。

説明

不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる HTML メールメッセージによって、Thunderbird がクラッシュしたり、Thunderbird を実行しているユーザー権限で任意のコードを実行したりする可能性があります。（CVE-2010-3176、CVE-2010-3180）

注：Thunderbird では、JavaScript サポートがデフォルトで無効になっています。JavaScript が有効になっていない限り、上記の問題が悪用されることはありません。

Thunderbird を起動するスクリプトに欠陥が見つかりました。LD_LIBRARY_PATH 変数は「.」文字を付加しますが、それが要因で、ローカルの攻撃者がコントロールしているディレクトリ内からユーザーが Thunderbird を実行すると、そのユーザーの権限でローカルの攻撃者が任意のコードを実行する可能性があります。（CVE-2010-3182）

この更新を有効にするためには、Thunderbird のすべての実行中のインスタンスを再起動する必要があります。