リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージには、RHSA-2021: 1190アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla：攻撃者は、既存のキーをポイゾニングするThunderbirdのOpenPGPキーリフレッシュメカニズムを使用する可能性があります（CVE-2021-23991）

  - Mozilla：無効なユーザーIDを持つ細工されたOpenPGPキーが、ユーザーを混乱させるために使用される可能性があります（CVE-2021-23992）

  - Mozilla：細工されたのOpenPGPキーをインポートした後、暗号化されたOpenPGP電子メールを送信することができません（CVE-2021-23993）

  - Mozilla：Thunderbirdは別のOTRライブラリを実行する可能性があります（CVE-2021-29949）

  - Mozilla：ロジックの問題により、鍵素材がアンロックされたままになる可能性があります（CVE-2021-29950）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021: 1192アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla：攻撃者は、既存のキーをポイゾニングするThunderbirdのOpenPGPキーリフレッシュメカニズムを使用する可能性があります（CVE-2021-23991）

  - Mozilla：無効なユーザーIDを持つ細工されたOpenPGPキーが、ユーザーを混乱させるために使用される可能性があります（CVE-2021-23992）

  - Mozilla：細工されたのOpenPGPキーをインポートした後、暗号化されたOpenPGP電子メールを送信することができません（CVE-2021-23993）

  - Mozilla：Thunderbirdは別のOTRライブラリを実行する可能性があります（CVE-2021-29949）

  - Mozilla：ロジックの問題により、鍵素材がアンロックされたままになる可能性があります（CVE-2021-29950）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのWindowsホストにインストールされているThunderbirdは、78.9.1より前のバージョンです。したがって、mfsa2021-13アドバイザリに記載されている複数の脆弱性の影響を受けます。

  -Thunderbirdユーザーが以前にAliceのOpenPGPキーをインポートし、Aliceがキーの有効期間を延長したが、Aliceの更新済みキーがまだインポートされていない場合、攻撃者は無効なサブキーを含む細工されたバージョンのAliceのキーを含むメールを送信する可能性があります。その後、Thunderbirdが無効なサブキーの使用を試行する可能性があり、暗号化されたメールをAliceに送信できません。（CVE-2021-23991）

  - Thunderbirdは、OpenPGPキーに関連付けられたユーザーIDに有効な自己署名があるかどうかをチェックしませんでした。攻撃者は、元のユーザーIDを置き換えるか、別のユーザーIDを追加することで、細工されたバージョンのOpenPGP鍵を作成する可能性があります。Thunderbirdが細工された鍵をインポートし、受け入れる場合、Thunderbirdユーザーは、偽のユーザーIDが通信相手に属すると誤って判断する可能性があります。（CVE-2021-23992）

  - 攻撃者は、DoS攻撃を実行して、ユーザーが通信相手に暗号化されたメールを送信するのを防ぐことができます。攻撃者が無効な自己署名を持つサブキーを持つ細工されたOpenPGPキーを作成し、Thunderbirdユーザーが細工されたキーをインポートしようとすると、Thunderbirdが無効なサブキーの使用を試行する可能性がありますが、RNPライブラリはその使用を拒否します。これにより、暗号化が失敗します。（CVE-2021-23993）

  - OTRプロトコルの実装を提供する共有ライブラリを読み込む際、ThunderbirdがThunderbirdにより配信されていないファイル名を使用して最初にそれを開こうとします。コンピューターがすでに別のファイル名の悪意のあるライブラリに感染しており、悪意のあるライブラリが実行可能なライブラリの検索パスに含まれるディレクトリにコピーされた場合、Thunderbirdは不適切なライブラリを読み込みます。（CVE-2021-29949）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Thunderbird に複数のセキュリティの問題が発見されました。これにより、任意コード実行または情報漏洩が発生する可能性がありました。
さらに、OpenPGP サポートの多数のセキュリティ問題に対処しました。

Debian 9 stretch では、これらの問題はバージョン 1:78.10.0-1~deb9u1 で修正されています。

お使いの thunderbird パッケージをアップグレードすることを推奨します。

thunderbirdの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/thunderbird

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのmacOSまたはMac OS XのホストにインストールされているThunderbirdのバージョンは、78.9.1より前です。したがって、mfsa2021-13アドバイザリに記載されている複数の脆弱性の影響を受けます。

  -Thunderbirdユーザーが以前にAliceのOpenPGPキーをインポートし、Aliceがキーの有効期間を延長したが、Aliceの更新済みキーがまだインポートされていない場合、攻撃者は無効なサブキーを含む細工されたバージョンのAliceのキーを含むメールを送信する可能性があります。その後、Thunderbirdが無効なサブキーの使用を試行する可能性があり、暗号化されたメールをAliceに送信できません。（CVE-2021-23991）

  - 攻撃者は、DoS攻撃を実行して、ユーザーが通信相手に暗号化されたメールを送信するのを防ぐことができます。攻撃者が無効な自己署名を持つサブキーを持つ細工されたOpenPGPキーを作成し、Thunderbirdユーザーが細工されたキーをインポートしようとすると、Thunderbirdが無効なサブキーの使用を試行する可能性がありますが、RNPライブラリはその使用を拒否します。これにより、暗号化が失敗します。（CVE-2021-23993）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージには、RHSA-2021: 1201アドバイザリに記載された複数の脆弱性の影響を受けます。

  - Mozilla：攻撃者は、既存のキーをポイゾニングするThunderbirdのOpenPGPキーリフレッシュメカニズムを使用する可能性があります（CVE-2021-23991）

  - Mozilla：無効なユーザーIDを持つ細工されたOpenPGPキーが、ユーザーを混乱させるために使用される可能性があります（CVE-2021-23992）

  - Mozilla：細工されたのOpenPGPキーをインポートした後、暗号化されたOpenPGP電子メールを送信することができません（CVE-2021-23993）

  - Mozilla：Thunderbirdは別のOTRライブラリを実行する可能性があります（CVE-2021-29949）

  - Mozilla：ロジックの問題により、鍵素材がアンロックされたままになる可能性があります（CVE-2021-29950）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2021: 1193のアドバイザリで参照される複数の脆弱性の影響を受けます。

  - Mozilla：攻撃者は、既存のキーをポイゾニングするThunderbirdのOpenPGPキーリフレッシュメカニズムを使用する可能性があります（CVE-2021-23991）

  - Mozilla：無効なユーザーIDを持つ細工されたOpenPGPキーが、ユーザーを混乱させるために使用される可能性があります（CVE-2021-23992）

  - Mozilla：細工されたのOpenPGPキーをインポートした後、暗号化されたOpenPGP電子メールを送信することができません（CVE-2021-23993）

  - Mozilla：Thunderbirdは別のOTRライブラリを実行する可能性があります（CVE-2021-29949）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 20.04 LTS/20.10ホストには、USN-4995-1アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - スリップストリームの研究に基づいたさらなる技術が悪意のあるWebページと組み合わされることにより、内部ネットワークのホストおよびユーザーのローカルマシンで実行されているサービスの両方を漏洩していた可能性があります。この脆弱性の影響を受けるのは、Firefox < 85です。(CVE-2021-23961) 

  - ピクセルバッファオブジェクトのテクスチャアップロードによってWebGLコードが混乱し、アンパックに使用されるバッファのバインドをスキップすることがあります。その結果メモリが破損し、また悪用可能な情報漏洩やクラッシュが引き起こされる可能性があります。
    この脆弱性の影響を受けるのは、Firefox <、78.9Thunderbird <、78.9およびFirefox < 87です。(CVE-2021-23981)

  - スリップストリームの研究に基づいた技術を使用して、悪意のあるWebページが、内部ネットワークのホストおよびユーザーのローカルマシンでWebRTC接続を使用して実行されているサービスの両方をスキャンしていた可能性があります。この脆弱性の影響を受けるのは、Firefox ESR <、78.9Thunderbird <、78.9およびFirefox < 87です。
    (CVE-2021-23982)

  - 悪意のある拡張機能によって、アドレスバーのないポップアップウィンドウが開かれる可能性があります。アドレスバーのないポップアップのタイトルが完全に制御可能であってはなりませんが、この状況では制御可能でした。これは、Webサイトを偽装し、ユーザーを騙して認証情報を提供させるために利用された可能性があります。この脆弱性の影響を受けるのは、Firefox <、78.9Thunderbird <、78.9およびFirefox < 87です。(CVE-2021-23984)

  - Mozilla開発者およびコミュニティメンバーは、Firefox 86とFirefox ESR 78.8に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox <、78.9Thunderbird <、78.9およびFirefox < 87です。(CVE-2021-23987)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。

リモートのUbuntu 18.04 LTSホストには、USN-4995-2のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - スリップストリームの研究に基づいたさらなる技術が悪意のあるWebページと組み合わされることにより、内部ネットワークのホストおよびユーザーのローカルマシンで実行されているサービスの両方を漏洩していた可能性があります。この脆弱性の影響を受けるのは、Firefox < 85です。（CVE-2021-23961）

  - ピクセルバッファオブジェクトのテクスチャアップロードによってWebGLコードが混乱し、アンパックに使用されるバッファのバインドをスキップすることがあります。その結果メモリが破損し、また悪用可能な情報漏洩やクラッシュが引き起こされる可能性があります。
    この脆弱性の影響を受けるのは、Firefox ESR < 78.9、Firefox < 87、Thunderbird < 78.9です。（CVE-2021-23981）

  - スリップストリームの研究に基づいた技術を使用して、悪意のあるWebページが、内部ネットワークのホストおよびユーザーのローカルマシンでWebRTC接続を使用して実行されているサービスの両方をスキャンしていた可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 78.9、Firefox < 87、Thunderbird < 78.9です。
    （CVE-2021-23982）

  - 悪意のある拡張機能によって、アドレスバーのないポップアップウィンドウが開かれる可能性があります。アドレスバーのないポップアップのタイトルが完全に制御可能であってはなりませんが、この状況では制御可能でした。これは、Webサイトを偽装し、ユーザーを騙して認証情報を提供させるために利用された可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 78.9、Firefox < 87、Thunderbird < 78.9です。（CVE-2021-23984）

  - Mozilla開発者およびコミュニティメンバーが、Firefox 86とFirefox ESR 78.8に存在するメモリ安全性のバグを報告してくれました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox ESR < 78.9、Firefox < 87、Thunderbird < 78.9です。（CVE-2021-23987）

  -Thunderbirdユーザーが以前にAliceのOpenPGPキーをインポートし、Aliceがキーの有効期間を延長したが、Aliceの更新済みキーがまだインポートされていない場合、攻撃者は無効なサブキーを含む細工されたバージョンのAliceのキーを含むメールを送信する可能性があります。その後、Thunderbirdが無効なサブキーの使用を試行する可能性があり、暗号化されたメールをAliceに送信できません。この脆弱性の影響を受けるのは、Thunderbird < 78.9.1です。（CVE-2021-23991）

  - Thunderbirdは、OpenPGPキーに関連付けられたユーザーIDに有効な自己署名があるかどうかをチェックしませんでした。攻撃者は、元のユーザーIDを置き換えるか、別のユーザーIDを追加することで、細工されたバージョンのOpenPGP鍵を作成する可能性があります。Thunderbirdが細工された鍵をインポートし、受け入れる場合、Thunderbirdユーザーは、偽のユーザーIDが通信相手に属すると誤って判断する可能性があります。この脆弱性の影響を受けるのは、Thunderbird < 78.9.1です。（CVE-2021-23992）

  - 攻撃者は、DoS攻撃を実行して、ユーザーが通信相手に暗号化されたメールを送信するのを防ぐことができます。攻撃者が無効な自己署名を持つサブキーを持つ細工されたOpenPGPキーを作成し、Thunderbirdユーザーが細工されたキーをインポートしようとすると、Thunderbirdが無効なサブキーの使用を試行する可能性がありますが、RNPライブラリはその使用を拒否します。これにより、暗号化が失敗します。この脆弱性の影響を受けるのは、Thunderbird < 78.9.1です。（CVE-2021-23993）

  - WebGLフレームバッファが十分初期化されておらず、メモリ破損と領域外書き込みが発生していました。この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。
    （CVE-2021-23994）

  - レスポンシブデザインモードが有効な場合、以前解放されたオブジェクトへの参照が使用されていました。十分な労力をもってすれば、これを悪用し、任意のコードを実行することが可能だったと考えられます。この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。（CVE-2021-23995）

  - 新しいウィンドウでの複雑なナビゲーションを通じて、HTTPページがHTTPSページから安全なロックアイコンを継承する可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。
    （CVE-2021-23998）

  - 何らかの異常なユーザーインタラクションを介してBlob URLがロードされた場合、システムプリンシパルによってロードされ、Webコンテンツに付与すべきでない追加の権限が付与された可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。（CVE-2021-23999）

  - ユーザーが、エンコードされた改行文字（％0Aおよび％0D）を含むFTP URLをクリックすると、改行はそのように解釈され、任意のコマンドをFTPサーバーに送信できます。この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。（CVE-2021-24002）

  - WebAssembly JITは戻り値の型のサイズを間違って計算する可能性があります。これにより、null読み取りが発生し、クラッシュが発生する可能性があります。*注意：この問題は、x86-32プラットフォームにのみ影響します。他のプラットフォームは影響を受けません。*
    この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。（CVE-2021-29945）

  - 16ビット整数の境界を超える整数オーバーフローとして書き込まれたポートは、Alt-Svcヘッダーで使用される際に、ポートブロック制限をバイパスする可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 78.10、Thunderbird < 78.10、およびFirefox < 88です。（CVE-2021-29946）

  - 署名は検証前にディスクに書き込まれ、検証中に読み取られます。これは、悪意のあるローカルプロセスまたはユーザーがファイルを置換する際の競合状態にある可能性があります。この脆弱性の影響を受けるのは、Thunderbird < 78.10です。（CVE-2021-29948）

  - OTRプロトコルの実装を提供する共有ライブラリを読み込む際、ThunderbirdがThunderbirdにより配信されていないファイル名を使用して最初にそれを開こうとします。コンピューターがすでに別のファイル名の悪意のあるライブラリに感染しており、悪意のあるライブラリが実行可能なライブラリの検索パスに含まれるディレクトリにコピーされた場合、Thunderbirdは不適切なライブラリを読み込みます。この脆弱性の影響を受けるのは、Thunderbird < 78.9.1です。（CVE-2021-29949）

  - Thunderbirdの78.8.1～78.10.1バージョンを使用してインポートされたOpenPGP秘密鍵は、ユーザーのローカルディスク上に暗号化されずに格納されました。これらの鍵では、マスターパスワード保護が無効でした。バージョン78.10.2は、新しくインポートされた鍵の保護メカニズムを復元し、影響を受けるThunderbirdのバージョンを使用してインポートされた鍵を自動的に保護します。この脆弱性の影響を受けるのは、Thunderbird < 78.10.2です。（CVE-2021-29956）

  - MIMEでエンコードされたメールにOpenPGPインラインの署名または暗号化されたメッセージ部分が含まれ、さらに保護されていない部分が含まれる場合、Thunderbirdはメッセージの一部のみが保護されることを示していませんでした。
    この脆弱性の影響を受けるのは、Thunderbird < 78.10.2です。（CVE-2021-29957）

  - Mozilla開発者が、Firefox 88およびFirefox ESR 78.11に存在するメモリの安全性に関するバグを報告してくれました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Thunderbird < 78.11、Firefox < 89、およびFirefox ESR < 78.11です。（CVE-2021-29967）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのRedhat Enterprise Linux 8ホストにインストールされているパッケージには、RHSA-2021: 1193のアドバイザリで参照される複数の脆弱性の影響を受けます。

  - Mozilla：攻撃者は、既存のキーをポイゾニングするThunderbirdのOpenPGPキーリフレッシュメカニズムを使用する可能性があります（CVE-2021-23991）

  - Mozilla：無効なユーザーIDを持つ細工されたOpenPGPキーが、ユーザーを混乱させるために使用される可能性があります（CVE-2021-23992）

  - Mozilla：細工されたのOpenPGPキーをインポートした後、暗号化されたOpenPGP電子メールを送信することができません（CVE-2021-23993）

  - Mozilla：Thunderbirdは別のOTRライブラリを実行する可能性があります（CVE-2021-29949）

  - Mozilla：ロジックの問題により、鍵素材がアンロックされたままになる可能性があります（CVE-2021-29950）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Thunderbird に複数のセキュリティの問題が発見されました。これにより、任意コード実行または情報漏洩が発生する可能性がありました。
さらに、OpenPGP サポートの多数のセキュリティ問題に対処しました。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
148543	RHEL 8 : thunderbird（RHSA-2021：1190)	Nessus	Red Hat Local Security Checks	2021/4/14	2024/1/4	high
148570	RHEL 7 : thunderbird（RHSA-2021：1192)	Nessus	Red Hat Local Security Checks	2021/4/15	2024/4/28	high
148395	Mozilla Thunderbird < 78.9.1	Nessus	Windows	2021/4/9	2024/1/5	high
148965	DebianDLA-2632-1：thunderbirdのセキュリティ更新	Nessus	Debian Local Security Checks	2021/4/23	2024/1/12	high
148396	Mozilla Thunderbird < 78.9.1	Nessus	MacOS X Local Security Checks	2021/4/9	2024/1/5	high
148569	RHEL 8 : thunderbird（RHSA-2021：1201)	Nessus	Red Hat Local Security Checks	2021/4/15	2024/4/28	high
148687	CentOS 8：thunderbird（CESA-2021：1193）	Nessus	CentOS Local Security Checks	2021/4/15	2024/1/4	high
150949	Ubuntu 20.04 LTS : Thunderbird の脆弱性 (USN-4995-1)	Nessus	Ubuntu Local Security Checks	2021/6/22	2023/10/20	high
151017	Ubuntu 18.04 LTS：Thunderbirdの脆弱性（USN-4995-2）	Nessus	Ubuntu Local Security Checks	2021/6/25	2023/10/16	high
148561	RHEL 8 : thunderbird（RHSA-2021：1193)	Nessus	Red Hat Local Security Checks	2021/4/14	2024/4/28	high
148964	DebianDSA-4897-1：thunderbird - セキュリティ更新	Nessus	Debian Local Security Checks	2021/4/23	2024/1/12	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high