Oracle Linux 4：thunderbird（ELSA-2010-0544）

critical Nessus プラグイン ID 68066

Language:

概要

リモート Oracle Linux ホストにセキュリティ更新がありません。

説明

Red Hat セキュリティアドバイザリ 2010:0544 から：

いくつかのセキュリティ問題を解決する更新済みの thunderbird パッケージが Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる HTML メールメッセージによって、Thunderbird がクラッシュしたり、Thunderbird を実行しているユーザー権限で任意のコードを実行したりする可能性があります。（CVE-2010-0174、CVE-2010-1200、CVE-2010-1211、 CVE-2010-1214、CVE-2010-2753）

整数オーバーフロー欠陥が、無効な形式の HTML メールコンテンツの処理で、見つかりました。悪意のあるコンテンツが含まれる HTML メールメッセージによって、Thunderbird がクラッシュしたり、Thunderbird を実行しているユーザー権限で任意のコードを実行したりする可能性があります。(CVE-2010-1199)

Thunderbird で複数の use-after-free 欠陥が見つかりました。悪意のあるコンテンツが含まれる HTML メールメッセージを表示すると、 Thunderbird を実行しているユーザーの権限で Thunderbird で任意のコードが実行されることがあります。（CVE-2010-0175、 CVE-2010-0176、CVE-2010-0177）

Thunderbird プラグインが相互作用する方法で、欠陥が見つかりました。あるプラグインが、異なるプラグインから解放されたメモリを参照することができ、結果として Thunderbird を実行しているユーザーの権限で任意のコードが実行されることがありました。(CVE-2010-1198)

「Content-Type: multipart」HTTP ヘッダーも存在する場合、
Thunderbird が「Content-Disposition: attachment」HTTP ヘッダーを処理する方法に欠陥が見つかりました。任意のアップロードを可能にするとともに、コンテンツのインラインでの表示を防止するために HTTP ヘッダー「Content-Disposition: attachment」に依存するリモートの HTTP コンテンツをロードする場合、
攻撃者によって使用され、悪意のあるコンテンツがユーザーに提供される可能性があります。(CVE-2010-1197)

Thunderbird に同一生成元ポリシーバイパスの欠陥が見つかりました。リモート HTML コンテンツが、Thunderbird がロードした異なるリモート HTML コンテンツから個人データを盗む可能性があります。(CVE-2010-2754)

Thunderbird のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。この更新を有効にするためには、Thunderbird のすべての実行中のインスタンスを再起動する必要があります。