Firefoxの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン60.1.0 ESRにアップグレードされます。セキュリティ修正プログラム：* Mozilla：Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（CVE-2018-5188）* Mozilla：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）* Mozilla：focus()を使用したメモリ解放後使用（use-after-free）（CVE-2018-12360）* Mozilla：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反（CVE-2018-5156）* Skia：SVGのヒープバッファオーバーフローラスタライズパス（CVE-2018-6126）* Mozilla：SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）* Mozilla：DOMノードを追加するときのメモリ解放後使用（use-after-free）（CVE-2018-12363）* Mozilla：307リダイレクトとNPAPIプラグインを介したCSRF攻撃（CVE-2018-12364）* Mozilla：リーダーモードでのアドレスバーのユーザー名とパスワード偽装（CVE-2017-7762）* Mozilla：侵害されたIPCの子プロセスは、ローカルファイル名をリストする可能性があります。（CVE-2018-12365）* Mozilla：QCMS移行中の無効なデータ処理（CVE-2018-12366）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームはAlex Gaynor氏、Christoph Diehl氏、Christian Holler氏、Jason Kratzer氏、David Major氏、Jon Coppeard氏、Nicolas B. Pierron氏、Marcia Knous氏、Ronald Crane氏、Nils氏、F. Alonso氏（revskills）、David Black氏、OSS-Fuzzを最初の報告者として認めています。

バージョンESR 52.9へのMozillaFirefoxの更新プログラムでは、以下の問題が修正されています：

  - CVE-2018-5188：メモリの安全性に関する複数のバグ（bsc#1098998）

  - CVE-2018-12368：実行可能なSettingContent-msファイルを開くときに警告が表示されない

  - CVE-2018-12366：QCMS変換中の無効なデータ処理

  - CVE-2018-12365：侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性

  - CVE-2018-12364：307リダイレクトとNPAPIプラグインを介したCSRF攻撃

  - CVE-2018-12363：DOMノードを追加するときのメモリ解放後使用（Use After Free）

  - CVE-2018-12362：SSSE3スケーラーの整数オーバーフロー

  - CVE-2018-12360：focus()使用時のメモリ解放後使用（Use After Free）

  - CVE-2018-5156：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反

  - CVE-2018-12359：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートのOSXホストにインストールされているMozilla Thunderbirdのバージョンは、60.0より前です。したがって、以下の複数の脆弱性による影響を受けます。

DOMノードを追加するときのメモリ解放後使用（Use After Free）（CVE-2018-12363）focus()を使用したメモリ解放後使用（Use After Free）（CVE-2018-12360）侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性（CVE-2018-12365）キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）フォームフィールドでEnterキーを押して暗号化メール部分を流出させるフォームの使用（CVE-2018-12374）HTML返信/転送によりS/MIMEプレーンテキストが漏えいする可能性（CVE-2018-12373）Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性に関するバグ（CVE-2018-5188）S/MIMEとPGP復号OracleがHTML形式の電子メールで作成される可能性（CVE-2018-12372）SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）307リダイレクトとNPAPIプラグインを介したCSRF攻撃（CVE-2018-12364）QCMS変換中の無効なデータ処理（CVE-2018-12366）

出典：Red Hatセキュリティアドバイザリ2018:2252：thunderbirdの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdがバージョン52.9.1にアップグレードされます。セキュリティ修正プログラム：* Mozilla：Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（CVE-2018-5188）* Mozilla：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）* Mozilla：focus()を使用したメモリ解放後使用（use-after-free）（CVE-2018-12360）* Mozilla：SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）* Mozilla：DOMノードを追加するときのメモリ解放後使用（use-after-free）（CVE-2018-12363）* Mozilla：307リダイレクトとNPAPIプラグインを通じたCSRF攻撃（CVE-2018-12364）* thunderbirdS/MIMEとPGPの復号化OracleがHTMLメールで構築される可能性があります。（CVE-2018-12372）* thunderbird：S/MIMEの平文は、HTMLの返信および転送を通して漏えいする可能性があります。（CVE-2018-12373）* Mozilla：侵害されたIPCの子プロセスは、ローカルファイル名をリストする可能性があります。（CVE-2018-12365）* Mozilla：QCMS変換中の無効なデータ処理（CVE-2018-12366）* thunderbird：フォームを使って、フォームフィールドでEnterを押し、暗号化されたメール部分を密かに抽出します。（CVE-2018-12374）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームはAlex Gaynor氏、Christoph Diehl氏、Christian Holler氏、Jason Kratzer氏、David Major氏、Jon Coppeard氏、Nicolas B. Pierron氏、Marcia Knous氏、Ronald Crane氏、Nils氏、F. Alonso氏（revskills）、David Black氏、OSS-Fuzzを最初の報告者として認めています。

thunderbirdの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdがバージョン52.9.1にアップグレードされます。セキュリティ修正プログラム：* Mozilla：Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（CVE-2018-5188）* Mozilla：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）* Mozilla：focus()を使用したメモリ解放後使用（use-after-free）（CVE-2018-12360）* Mozilla：SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）* Mozilla：DOMノードを追加するときのメモリ解放後使用（use-after-free）（CVE-2018-12363）* Mozilla：307リダイレクトとNPAPIプラグインを通じたCSRF攻撃（CVE-2018-12364）* thunderbirdS/MIMEとPGPの復号化OracleがHTMLメールで構築される可能性があります。（CVE-2018-12372）* thunderbird：S/MIMEの平文は、HTMLの返信および転送を通して漏えいする可能性があります。（CVE-2018-12373）* Mozilla：侵害されたIPCの子プロセスは、ローカルファイル名をリストする可能性があります。（CVE-2018-12365）* Mozilla：QCMS変換中の無効なデータ処理（CVE-2018-12366）* thunderbird：フォームを使って、フォームフィールドでEnterを押し、暗号化されたメール部分を密かに抽出します。（CVE-2018-12374）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームはAlex Gaynor氏、Christoph Diehl氏、Christian Holler氏、Jason Kratzer氏、David Major氏、Jon Coppeard氏、Nicolas B. Pierron氏、Marcia Knous氏、Ronald Crane氏、Nils氏、F. Alonso氏（revskills）、David Black氏、OSS-Fuzzを最初の報告者として認めています。

このMozilla Thunderbirdのバージョン60.2.1への更新では、複数の問題が修正されます：

MFSA 2018-25での助言に従い、Mozillaプラットフォームで複数のセキュリティ問題が修正されました。一般的に、Thunderbirdではメールを読み込む際のスクリプティングが無効になっているため、電子メールを通じてこれらの欠陥を悪用することはできません。ただし、ブラウザまたはブラウザ型のコンテキストにおいては潜在的なリスクとなります。

  - CVE-2018-12377：ドライバータイマーのメモリ解放後使用（Use After Free）（bsc#1107343）

  - CVE-2018-12378：IndexedDBでのメモリ解放後使用（Use After Free）（bsc#1107343）

  - CVE-2017-16541：自動マウントとautofsを使用したプロキシバイパス（bsc#1066489）

  - CVE-2018-12376：Firefox 62とFirefox ESR 60.2で修正されたメモリ安全性に関するバグ（bsc#1107343）

  - CVE-2018-12385：キャッシュされたデータによるTransportSecurityInfoのクラッシュ（bsc#1109363）

  - CVE-2018-12383：マスターパスワードを設定しても、以前に保存された暗号化されていないパスワードは削除されません（bsc#1107343）

  - CVE-2018-12359：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（bsc#1098998）

  - CVE-2018-12360：focus()使用時のメモリ解放後使用（Use-After-Free）（bsc#1098998）。

  - CVE-2018-12361：SwizzleDataでの整数オーバーフロー（bsc#1098998）

  - CVE-2018-12362：SSSE3スケーラーの整数オーバーフロー（bsc#1098998）

  - CVE-2018-12363：DOMノードを追加するときのメモリ解放後使用（Use After Free）（bsc#1098998）

  - CVE-2018-12364：307リダイレクトとNPAPIプラグインを介したCSRF攻撃（bsc#1098998）

  - CVE-2018-12365：侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性（bsc#1098998）

  - CVE-2018-12371：エッジビルダー割り当て中のSkiaライブラリにおける整数オーバーフロー（bsc#1098998）

  - CVE-2018-12366：QCMS変換中の無効なデータ処理（bsc#1098998）

  - CVE-2018-12367：PerformanceNavigationTimingのタイミング攻撃の緩和（bsc#1098998）

  - CVE-2018-5156：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反（bsc#1098998）

  - CVE-2018-5187：Firefox 60、Firefox ESR 60.1、およびThunderbird 60で修正されたメモリの安全性のバグ（bsc#1098998）

  - CVE-2018-5188：Firefox 60、Firefox ESR 60.1、Firefox ESR 52.9、およびThunderbird 60で修正されたメモリの安全性のバグ（bsc#1098998）

その他のバグ修正：

  - 日付表示の問題を修正します（bsc#1109379）

  - 特殊文字を含むフォルダ名による起動時のクラッシュを修正します（bsc#1107772）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111074	CentOS 6：Firefox（CESA-2018:2112）	Nessus	CentOS Local Security Checks	2018/7/16	2024/9/4	critical
111745	SUSE SLES11セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2018:2325-1）	Nessus	SuSE Local Security Checks	2018/8/15	2024/8/21	critical
111980	Mozilla Thunderbird < 60.0の複数の脆弱性（macOS）	Nessus	MacOS X Local Security Checks	2018/8/20	2024/8/16	critical
112086	Amazon Linux 2：thunderbird（ALAS-2018-1061）	Nessus	Amazon Linux Local Security Checks	2018/8/24	2024/8/14	critical
111320	Oracle Linux 7：thunderbird（ELSA-2018-2252）	Nessus	Oracle Linux Local Security Checks	2018/7/25	2024/10/22	critical
111322	RHEL 6：Thunderbird（RHSA-2018:2251）	Nessus	Red Hat Local Security Checks	2018/7/25	2024/11/5	critical
123293	openSUSEセキュリティ更新プログラム：MozillaThunderbird（openSUSE-2019-680）	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/11	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical