Oracle Linux 6：thunderbird（ELSA-2012-0388）

high Nessus プラグイン ID 68496

Language:

概要

リモート Oracle Linux ホストにセキュリティ更新がありません。

説明

Red Hat セキュリティアドバイザリ 2012:0388 から：

複数のセキュリティの問題を修正する更新済みの Thunderbird パッケージが、 Red Hat Enterprise Linux 5 と 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

無効な形式のコンテンツの処理で、いくつかの欠陥が見つかりました。
悪意あるコンテンツが、Thunderbird をクラッシュさせたり、 Thunderbird を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0461、 CVE-2012-0462、CVE-2012-0464）

Thunderbird が特定のスケーラブル・ベクター・グラフィックス（SVG）画像ファイルを解析する方法で、2 つの欠陥が見つかりました。悪意ある SVG イメージファイルを含む HTML メールメッセージが、情報漏洩が引き起こしたり、 Thunderbird をクラッシュさせたり、Thunderbird を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2012-0456、 CVE-2012-0457）

ユーザーが騙されて「javascript:」リンクをフレームにドロップした場合、欠陥があるため、悪意あるコンテンツが本来守られるべき制限をバイパスして、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。
(CVE-2012-0455)

ホームページに「javascript:」リンクを設定される可能性があることが判明しました。
ユーザーが騙されて、リンクをホームボタンにドラッグしてホームページに設定した場合、Firefox が繰り返しクラッシュを引き起こし、最終的には Firefox を実行中のユーザーの権限で任意のコードを実行する可能性があります。Thunderbird で同様の欠陥が見つかり、修正されました。(CVE-2012-0458)

Thunderbird が「cssText」を含む特定のリモートコンテンツを解析する方法で、欠陥が見つかりました。悪意のあるリモートコンテンツによって、 Thunderbird がクラッシュすることや、Thunderbird を実行しているユーザーの権限で任意のコードが実行される可能性があります。(CVE-2012-0459)

DOM フルスクリーン API を使用することにより、信頼されないコンテンツが mozRequestFullscreen セキュリティ保護をバイパスする可能性があることが見つかりました。悪意あるコンテンツがこの API 欠陥を悪用することにより、ユーザーインターフェイスのなりすましを引き起こす可能性があります。
(CVE-2012-0460)

Thunderbird が複数の Content Security Policy（CSP）ヘッダーのあるコンテンツを処理する方法で、欠陥が見つかりました。これは、ヘッダーインジェクションの欠陥のある Web サイトと組み合わせて使用された場合に、クロスサイトスクリプティング攻撃を引き起こす可能性があります。(CVE-2012-0451)

注：CVE-2012-0456 および CVE-2012-0457 以外のすべての問題は、特別に細工された HTML メールメッセージでは悪用できません。これは、 JavaScript がメールメッセージに対してデフォルトで無効になっているためです。RSS フィードのフルリモートコンテンツを表示する場合など、 Thunderbird では別の方法で悪用される可能性があります。

Thunderbird の全ユーザーは、 Thunderbird version 10.0.3 ESR が含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。
この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。