Scientific Linux セキュリティ更新：SL5.x、SL6.x i386/x86_64 の thunderbird

high Nessus プラグイン ID 61283

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

無効な形式のコンテンツの処理で、いくつかの欠陥が見つかりました。
悪意あるコンテンツが、Thunderbird をクラッシュさせたり、 Thunderbird を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0461、 CVE-2012-0462、CVE-2012-0464）

Thunderbird が特定のスケーラブル・ベクター・グラフィックス（SVG）画像ファイルを解析する方法で、2 つの欠陥が見つかりました。悪意ある SVG イメージファイルを含む HTML メールメッセージが、情報漏洩が引き起こしたり、 Thunderbird をクラッシュさせたり、Thunderbird を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0456、CVE-2012-0457）

ユーザーが騙されて「javascript:」リンクをフレームにドロップした場合、欠陥があるため、悪意あるコンテンツが本来守られるべき制限をバイパスして、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。
（CVE-2012-0455）

ホームページに「javascript:」リンクを設定される可能性があることが判明しました。
ユーザーが騙されて、リンクをホームボタンにドラッグしてホームページに設定した場合、Firefox が繰り返しクラッシュを引き起こし、最終的には Firefox を実行中のユーザーの権限で任意のコードを実行する可能性があります。Thunderbird で同様の欠陥が見つかり、修正されました。（CVE-2012-0458）

Thunderbird が「cssText」を含む特定のリモートコンテンツを解析する方法で、欠陥が見つかりました。悪意のあるリモートコンテンツによって、 Thunderbird がクラッシュすることや、Thunderbird を実行しているユーザーの権限で任意のコードが実行される可能性があります。（CVE-2012-0459）

DOM フルスクリーン API を使用することにより、信頼されないコンテンツが mozRequestFullscreen セキュリティ保護をバイパスする可能性があることが見つかりました。悪意あるコンテンツがこの API 欠陥を悪用することにより、ユーザーインターフェイスのなりすましを引き起こす可能性があります。
（CVE-2012-0460）

Thunderbird が複数の Content Security Policy（CSP）ヘッダーのあるコンテンツを処理する方法で、欠陥が見つかりました。これは、ヘッダーインジェクションの欠陥のある Web サイトと組み合わせて使用された場合に、クロスサイトスクリプティング攻撃を引き起こす可能性があります。（CVE-2012-0451）

注：CVE-2012-0456 および CVE-2012-0457 以外のすべての問題は、特別に細工された HTML メールメッセージでは悪用できません。これは、 JavaScript がメールメッセージに対してデフォルトで無効になっているためです。RSS フィードのフルリモートコンテンツを表示する場合など、 Thunderbird では別の方法で悪用される可能性があります。

Thunderbird の全ユーザーは、 Thunderbird version 10.0.3 ESR が含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。
この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。