リモートのOSXホストにインストールされているMozilla Thunderbirdのバージョンは、52.9より前です。したがって、以下の複数の脆弱性による影響を受けます。

Thunderbirdで複数のセキュリティの問題が発見されました。ユーザーが誘導されて特別に細工されたWebサイトをブラウジングコンテキストで開くと、攻撃者がこれらを悪用し、サービス拒否、CORS制限のバイパス、秘密情報の取得、任意のコードの実行などをする可能性があります。(CVE-2018-12359、CVE-2018-12360、CVE-2018-12362、CVE-2018-12363、CVE-2018-12364、CVE-2018-12365、CVE-2018-12366) 

S/MIMEとPGPの復号化OracleがHTMLメールで構築される可能性があることが発見されました。攻撃者がこれを悪用し、秘密情報を入手する可能性があります。(CVE-2018-12372) 

S/MIMEの平文がHTML返信および転送を通して漏えいする可能性があることが発見されました。攻撃者がこれを悪用し、秘密情報を入手する可能性があります。(CVE-2018-12373) 

フォームフィールドでEnterを押すことで、フォームを使って暗号化されたメール部分を抽出することができることが発見されました。攻撃者がこれを悪用し、秘密情報を入手する可能性があります。(CVE-2018-12374)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Thunderbirdに複数のセキュリティ問題が見つかりました。これにより、任意のコード実行、サービス拒否、または暗号化されたメールに対する攻撃を引き起こす可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン1:52.9.1-1~deb8u1で修正されました。

thunderbirdパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの macOS または Mac OS X ホストにインストールされている Firefox のバージョンは、61.0 より前のものです。したがって、mfsa2018-15アドバイザリに記載されているように、複数の脆弱性の影響を受けます。

  - Mozilla開発者とコミュニティメンバーのAlex Gaynor、Christoph Diehl、Christian Holler、Jason Kratzer、David major、Jon Coppeard、Nicolas B. Pierron、Jason Kratzer、Marcia Knous、Ronald Craneは、Firefox 60、Firefox ESR 60に存在するメモリ安全性のバグを報告しました。 、 Firefox ESR 52.8。このバグの一部からは、メモリ破損の証拠を示しており、十分な手間をかければ、これらの一部を悪用して任意のコードを実行できると考えられます。CVE-2018-5188

  - Windows 10 は <code>、 SettingContent-ms</code> 拡張子付き実行可能ファイルを開く前に、それらがインターネットからダウンロードされ、Mark of the Web がある場合でも、ユーザーに警告を発しません。警告がない場合、この新しいファイルタイプに詳しくない疑いを持たないユーザーが、望ましくない実行可能ファイルを実行する可能性があります。これにより、制限された <code>downloads.open</code> 権限を持つ WebExtension が Windows 10 システム上でユーザーの操作なしに任意のコードを実行することも可能になります。注意この問題は Windows オペレーティングシステムにのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2018-12368)

  - <code><canvas></code> 要素の高さと幅を動的に調整しながらキャンバスコンテンツをレンダリングする際、バッファオーバーフローが発生し、現在計算されている領域外にデータが書き込まれる可能性があります。これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2018-12359

  - <code>入力</code> 要素をフォーカスすることで発生した変異イベントハンドラー中にその要素を削除する際に、use-after-free 脆弱性が発生する可能性があります。これにより、悪用可能なクラッシュが引き起こされる可能性があります。
    (CVE-2018-12360)

  - バッファサイズの計算中に <code>swizzleData</code> コードで整数オーバーフローが発生する可能性があります。オーバーフローした値は、入力がサニタイズされないときに、後続のグラフィックス計算に使用され、潜在的に悪用可能なクラッシュを引き起こします。CVE-2018-12361

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Firefoxの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン60.1.0 ESRにアップグレードされます。セキュリティ修正プログラム：* Mozilla：Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（CVE-2018-5188）* Mozilla：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）* Mozilla：focus()を使用したメモリ解放後使用（use-after-free）（CVE-2018-12360）* Mozilla：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反（CVE-2018-5156）* Skia：SVGのヒープバッファオーバーフローラスタライズパス（CVE-2018-6126）* Mozilla：SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）* Mozilla：DOMノードを追加するときのメモリ解放後使用（use-after-free）（CVE-2018-12363）* Mozilla：307リダイレクトとNPAPIプラグインを介したCSRF攻撃（CVE-2018-12364）* Mozilla：リーダーモードでのアドレスバーのユーザー名とパスワード偽装（CVE-2017-7762）* Mozilla：侵害されたIPCの子プロセスは、ローカルファイル名をリストする可能性があります。（CVE-2018-12365）* Mozilla：QCMS移行中の無効なデータ処理（CVE-2018-12366）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームはAlex Gaynor氏、Christoph Diehl氏、Christian Holler氏、Jason Kratzer氏、David Major氏、Jon Coppeard氏、Nicolas B. Pierron氏、Marcia Knous氏、Ronald Crane氏、Nils氏、F. Alonso氏（revskills）、David Black氏、OSS-Fuzzを最初の報告者として認めています。

このMozilla Thunderbirdのバージョン60.2.1への更新では、複数の問題を修正します：

MFSA 2018-25での助言に従い、Mozillaプラットフォームで複数のセキュリティ問題が修正されました。一般的に、Thunderbirdではメールを読み込む際のスクリプティングが無効になっているため、電子メールを通じてこれらの欠陥を悪用することはできません。ただし、ブラウザまたはブラウザ型のコンテキストにおいては潜在的なリスクとなります。

  - CVE-2018-12377：ドライバータイマーのメモリ解放後使用（Use After Free）（bsc#1107343）

  - CVE-2018-12378：IndexedDBでのメモリ解放後使用（Use After Free）（bsc#1107343）

  - CVE-2017-16541：自動マウントとautofsを使用したプロキシバイパス（bsc#1066489）

  - CVE-2018-12376：Firefox 62とFirefox ESR 60.2で修正されたメモリ安全性に関するバグ（bsc#1107343）

  - CVE-2018-12385：キャッシュされたデータによるTransportSecurityInfoのクラッシュ（bsc#1109363）

  - CVE-2018-12383：マスターパスワードを設定しても、以前に保存された暗号化されていないパスワードは削除されません（bsc#1107343）

  - CVE-2018-12359：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（bsc#1098998）

  - CVE-2018-12360：focus()使用時のメモリ解放後使用（Use-After-Free）（bsc#1098998）。

  - CVE-2018-12361：SwizzleDataでの整数オーバーフロー（bsc#1098998）

  - CVE-2018-12362：SSSE3スケーラーの整数オーバーフロー（bsc#1098998）

  - CVE-2018-12363：DOMノードを追加するときのメモリ解放後使用（Use After Free）（bsc#1098998）

  - CVE-2018-12364：307リダイレクトとNPAPIプラグインを介したCSRF攻撃（bsc#1098998）

  - CVE-2018-12365：侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性（bsc#1098998）

  - CVE-2018-12371：エッジビルダー割り当て中のSkiaライブラリにおける整数オーバーフロー（bsc#1098998）

  - CVE-2018-12366：QCMS変換中の無効なデータ処理（bsc#1098998）

  - CVE-2018-12367：PerformanceNavigationTimingのタイミング攻撃の緩和（bsc#1098998）

  - CVE-2018-5156：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反（bsc#1098998）

  - CVE-2018-5187：Firefox 60、Firefox ESR 60.1、およびThunderbird 60で修正されたメモリの安全性のバグ（bsc#1098998）

  - CVE-2018-5188：Firefox 60、Firefox ESR 60.1、Firefox ESR 52.9、およびThunderbird 60で修正されたメモリの安全性のバグ（bsc#1098998）

その他のバグ修正：

  - 日付表示の問題を修正します（bsc#1109379）

  - 特殊文字を含むフォルダ名による起動時のクラッシュを修正します（bsc#1107772）

このMozillaFirefoxの52.9 ESRリリースへの更新では、次の問題を修正します：これらのセキュリティの問題が修正されました：

  - Firefox ESR 52.9：

  - CVE-2018-5188 Firefox 60、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（bsc#1098998）。

  - CVE-2018-12368 実行可能なSettingContent-msファイルを開くときに警告が表示されない（bsc#1098998）。

  - CVE-2018-12366 QCMS変換中の無効なデータ処理（bsc#1098998）。

  - CVE-2018-12365 侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性（bsc#1098998）。

  - CVE-2018-12364 307リダイレクトとNPAPIプラグインを介したCSRF攻撃（bsc#1098998）。

  - CVE-2018-12363 DOMノードを追加するときのメモリ解放後使用（Use-After-Free）（bsc#1098998）。

  - CVE-2018-12362 SSSE3スケーラーの整数オーバーフロー（bsc#1098998）。

  CVE-2018-12360focus()使用時のメモリ解放後使用（Use-After-Free）（bsc#1098998）。

  CVE-2018-5156キャプチャ中にトラックタイプが変更されたbsc#1098998ときのメディアレコーダーのセグメンテーション違反

  - CVE-2018-12359 キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（bsc#1098998）。

  - Firefox ESR 52.8：

  - CVE-2018-6126：Skiaを使用したSVGでのパスのラスタライズによるヒープバッファオーバーフローを防止します（bsc#1096449）。

  - CVE-2018-5183：SkiaにおけるBackportの重要なセキュリティ修正（bsc#1092548）。

  - CVE-2018-5154：SVGアニメーションやクリップパスによるメモリ解放後使用（Use-After-Free）（bsc#1092548）

  - CVE-2018-5155：SVGアニメーションやテキストパスによるメモリ解放後使用（Use After Free）（bsc#1092548）

  - CVE-2018-5157：保護されたPDFファイルを表示するためのPDFビューアーの同一オリジンバイパス（bsc#1092548）。

  - CVE-2018-5158：悪意のあるPDFがJavaScriptをPDFビューアーに挿入する（bsc#1092548）。

  - CVE-2018-5159：Skiaの整数オーバーフローおよび領域外書き込み（bsc#1092548）。

  - CVE-2018-5168：ユーザーの操作なしに軽量テーマがインストールされる脆弱性（bsc#1092548）。

  - CVE-2018-5178：レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー（bsc#1092548）。

  - CVE-2018-5150：Firefox 60とFirefox ESR 52.8で修正されたメモリ安全性に関するバグ（bsc#1092548）。

更新パッケージには、セキュリティ関連以外の修正も含まれています。詳細については、アドバイザリを参照してください。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111043	Mozilla Thunderbird < 52.9の複数の脆弱性（macOS）	Nessus	MacOS X Local Security Checks	2018/7/12	2024/9/5	critical
111060	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : Thunderbirdの脆弱性 (USN-3714-1)	Nessus	Ubuntu Local Security Checks	2018/7/13	2024/8/27	critical
111083	Debian DLA-1425-1: thunderbirdセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2018/7/16	2024/9/4	critical
275661	Mozilla Firefox < 61.0	Nessus	MacOS X Local Security Checks	2025/11/18	2025/11/18	critical
110800	RHEL 7：firefox（RHSA-2018:2113）	Nessus	Red Hat Local Security Checks	2018/6/29	2024/11/5	critical
117987	openSUSEセキュリティ更新プログラム：MozillaThunderbird（openSUSE-2018-1139）	Nessus	SuSE Local Security Checks	2018/10/9	2024/7/31	critical
120074	SUSE SLED15 / SLES15セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2018:2298-1）	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical