この更新プログラムで、Thunderbirdがバージョン52.9.1にアップグレードされます。

セキュリティ修正プログラム:

  - Mozilla: Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（CVE-2018-5188）

  - Mozilla: キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）

  - Mozilla: focus()を使用したメモリ解放後使用（Use After Free）（CVE-2018-12360）

  - Mozilla: SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）

  - Mozilla: DOMノードを追加するときのメモリ解放後使用（Use After Free）（CVE-2018-12363）

  - Mozilla: 307リダイレクトとNPAPIプラグインを介したCSRF攻撃（CVE-2018-12364）

  - thunderbird: S/MIMEとPGPの復号化OracleがHTMLメールで構築される可能性（CVE-2018-12372）

  - thunderbird: S/MIMEの平文がHTML返信および転送を通して漏洩する可能性（CVE-2018-12373）

  - Mozilla: 侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性（CVE-2018-12365）

  - Mozilla: QCMS変換中の無効なデータ処理（CVE-2018-12366）

  - thunderbird: フォームフィールドでEnterを押すことで、フォームを使用して暗号化されたメール部分を抽出する（CVE-2018-12374）

seamonkeyのこの更新プログラムでは、以下の問題が修正されています：

Mozilla SeaMonkeyが2.49.4に更新されました：

現在はGecko 52.9.1esrを使用します（boo#1098998）。

MFSA 2018-16で修正されたセキュリティ問題（boo#1098998）：

  - CVE-2018-12359：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー

  - CVE-2018-12360：focus()使用時のメモリ解放後使用（Use After Free）

  - CVE-2018-12362：SSSE3スケーラーの整数オーバーフロー

  - CVE-2018-5156：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反

  - CVE-2018-12363：DOMノードを追加するときのメモリ解放後使用（Use After Free）

  - CVE-2018-12364：307リダイレクトとNPAPIプラグインを介したCSRF攻撃

  - CVE-2018-12365：侵害されたIPCの子プロセスがローカルのファイル名をリストする可能性

  - CVE-2018-12366：QCMS変換中の無効なデータ処理

  - CVE-2018-5188：Firefox 60、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ

ローカライゼーションが再び組み込まれました（boo#1062195）

SeaMonkeyの内容をより正確に反映するためにサマリーと説明を更新しました。これにより、多くのユーザーにはなじみのない、かなり以前に廃止されたMozilla Application Suiteが目立たなくなりました。

SeaMonkey 2.49.2 に更新してください

  - Gecko 52.6esr（セキュリティ関連の修正を含む）（boo#1077291）

  - Composerの問題を修正します

  - 一部のテーマで、menulist-dropmarkerおよびhistory-dropmarkerが表示されませんでした

  - スクロールバーにボタンが表示されませんでした

  - WebRTCがデフォルトで無効になっていました。サイトごとに有効にするためにアドオンが必要です

  - アクティブなタイトルバーが視覚的に強調されていませんでした

requiresとprovidesの処理を修正します（boo#1076907）

リモートの Windows ホストにインストールされている Thunderbird は、60.0 より前のバージョンです。したがって、mfsa2018-19アドバイザリに記載されているように、複数の脆弱性の影響を受けます。

  - Mozilla開発者とコミュニティメンバーのAlex Gaynor、Christoph Diehl、Christian Holler、Jason Kratzer、David major、Jon Coppeard、Nicolas B. Pierron、Jason Kratzer、Marcia Knous、Ronald Craneは、Firefox 60、Firefox ESR 60に存在するメモリ安全性のバグを報告しました。 、 Firefox ESR 52.8。このバグの一部からは、メモリ破損の証拠を示しており、十分な手間をかければ、これらの一部を悪用して任意のコードを実行できると考えられます。CVE-2018-5188

  - Windows 10 は <code>、 SettingContent-ms</code> 拡張子付き実行可能ファイルを開く前に、それらがインターネットからダウンロードされ、Mark of the Web がある場合でも、ユーザーに警告を発しません。警告がない場合、この新しいファイルタイプに詳しくない疑いを持たないユーザーが、望ましくない実行可能ファイルを実行する可能性があります。これにより、制限された <code>downloads.open</code> 権限を持つ WebExtension が Windows 10 システム上でユーザーの操作なしに任意のコードを実行することも可能になります。注意この問題は Windows オペレーティングシステムにのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2018-12368)

  - <code><canvas></code> 要素の高さと幅を動的に調整しながらキャンバスコンテンツをレンダリングする際、バッファオーバーフローが発生し、現在計算されている領域外にデータが書き込まれる可能性があります。これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2018-12359

  - <code>入力</code> 要素をフォーカスすることで発生した変異イベントハンドラー中にその要素を削除する際に、use-after-free 脆弱性が発生する可能性があります。これにより、悪用可能なクラッシュが引き起こされる可能性があります。
    (CVE-2018-12360)

  - バッファサイズの計算中に <code>swizzleData</code> コードで整数オーバーフローが発生する可能性があります。オーバーフローした値は、入力がサニタイズされないときに、後続のグラフィックス計算に使用され、潜在的に悪用可能なクラッシュを引き起こします。CVE-2018-12361

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、60.0 より前です。したがって、mfsa2018-19アドバイザリに記載されているように、複数の脆弱性の影響を受けます。

  - Mozilla開発者とコミュニティメンバーのAlex Gaynor、Christoph Diehl、Christian Holler、Jason Kratzer、David major、Jon Coppeard、Nicolas B. Pierron、Jason Kratzer、Marcia Knous、Ronald Craneは、Firefox 60、Firefox ESR 60に存在するメモリ安全性のバグを報告しました。 、 Firefox ESR 52.8。このバグの一部からは、メモリ破損の証拠を示しており、十分な手間をかければ、これらの一部を悪用して任意のコードを実行できると考えられます。CVE-2018-5188

  - Windows 10 は <code>、 SettingContent-ms</code> 拡張子付き実行可能ファイルを開く前に、それらがインターネットからダウンロードされ、Mark of the Web がある場合でも、ユーザーに警告を発しません。警告がない場合、この新しいファイルタイプに詳しくない疑いを持たないユーザーが、望ましくない実行可能ファイルを実行する可能性があります。これにより、制限された <code>downloads.open</code> 権限を持つ WebExtension が Windows 10 システム上でユーザーの操作なしに任意のコードを実行することも可能になります。注意この問題は Windows オペレーティングシステムにのみ影響します。その他のオペレーティングシステムは影響を受けません。(CVE-2018-12368)

  - <code><canvas></code> 要素の高さと幅を動的に調整しながらキャンバスコンテンツをレンダリングする際、バッファオーバーフローが発生し、現在計算されている領域外にデータが書き込まれる可能性があります。これにより、悪用可能なクラッシュが発生する可能性があります。CVE-2018-12359

  - <code>入力</code> 要素をフォーカスすることで発生した変異イベントハンドラー中にその要素を削除する際に、use-after-free 脆弱性が発生する可能性があります。これにより、悪用可能なクラッシュが引き起こされる可能性があります。
    (CVE-2018-12360)

  - バッファサイズの計算中に <code>swizzleData</code> コードで整数オーバーフローが発生する可能性があります。オーバーフローした値は、入力がサニタイズされないときに、後続のグラフィックス計算に使用され、潜在的に悪用可能なクラッシュを引き起こします。CVE-2018-12361

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

出典：Red Hatセキュリティアドバイザリ2018:2113：firefoxの更新プログラムがRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を深刻として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Firefoxは、標準コンプライアンス、パフォーマンス、移植性を特徴とするオープンソースのWebブラウザーです。この更新プログラムで、Firefoxがバージョン60.1.0 ESRにアップグレードされます。セキュリティ修正プログラム：* Mozilla：Firefox 61、Firefox ESR 60.1、Firefox ESR 52.9で修正されたメモリの安全性のバグ（CVE-2018-5188）* Mozilla：キャンバス要素の計算されたサイズを使用したバッファオーバーフロー（CVE-2018-12359）* Mozilla：focus()を使用したメモリ解放後使用（use-after-free）（CVE-2018-12360）* Mozilla：キャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反（CVE-2018-5156）* Skia：SVGのヒープバッファオーバーフローラスタライズパス（CVE-2018-6126）* Mozilla：SSSE3スケーラーの整数オーバーフロー（CVE-2018-12362）* Mozilla：DOMノードを追加するときのメモリ解放後使用（use-after-free）（CVE-2018-12363）* Mozilla：307リダイレクトとNPAPIプラグインを介したCSRF攻撃（CVE-2018-12364）* Mozilla：リーダーモードでのアドレスバーのユーザー名とパスワード偽装（CVE-2017-7762）* Mozilla：侵害されたIPCの子プロセスは、ローカルファイル名をリストする可能性があります。（CVE-2018-12365）* Mozilla：QCMS移行中の無効なデータ処理（CVE-2018-12366）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームはAlex Gaynor氏、Christoph Diehl氏、Christian Holler氏、Jason Kratzer氏、David Major氏、Jon Coppeard氏、Nicolas B. Pierron氏、Marcia Knous氏、Ronald Crane氏、Nils氏、F. Alonso氏（revskills）、David Black氏、OSS-Fuzzを最初の報告者として認めています。

リモートホストは、GLSA-201810-01（Mozilla Firefox：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がMozilla Firefoxで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、ユーザーを誘導して特別に細工されたWebページを表示させる可能性があります。その結果、プロセスの権限で任意のコードが実行されたり、サービス拒否状態が引き起こされたりする可能性があります。さらに、リモートの攻撃者が、中間者攻撃を実行し、機密情報を取得し、アドレスバーを偽装し、クリックジャッキング攻撃を実施し、セキュリティ制限および保護メカニズムをバイパスし、その他の特定されていない影響を及ぼすことがあります。回避策：現時点では、既知の回避策はありません。

リモートのMiracleLinux 7ホストには、AXSA:2018-3259:05アドバイザリに記載されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    * MozillaFirefox 61、Firefox ESR 60.1、Firefox ESR 52.9CVE-2018-5188で修正されたメモリの安全性のバグ
    * Mozillaキャンバス要素の計算サイズを使用するバッファオーバーフローCVE-2018-12359]
    * Mozillafocus() を使用した use-after-freeCVE-2018-12360]
    * Mozillaキャプチャ中にトラックタイプが変更されたときのメディアレコーダーのセグメンテーション違反CVE-2018-5156]
    * SkiaSVG のヒープバッファオーバーフローラスタライズパスCVE-2018-6126]
    * MozillaSSSE3 スケーラーの整数オーバーフローCVE-2018-12362
    * MozillaDOM ノードを追加する際の use-after-freeCVE-2018-12363]
    * Mozilla307 リダイレクトと NPAPI プラグインを通じた CSRF 攻撃CVE-2018-12364
    * Mozillaリーダーモードでのアドレスバーのユーザー名とパスワードなりすましCVE-2017-7762
    * Mozilla危険にさらされている IPC の子プロセスは、ローカルファイル名をリストすることができますCVE-2018-12365]
    * MozillaQCMS 変換中の無効なデータ処理CVE-2018-12366

Tenableは、前述の記述ブロックをMiracleLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
111344	Scientific Linux セキュリティ更新: SL7.x x86_64のthunderbird（20180725）	Nessus	Scientific Linux Local Security Checks	2018/7/26	2024/9/2	critical
111780	openSUSEセキュリティ更新プログラム：seamonkey（openSUSE-2018-867）	Nessus	SuSE Local Security Checks	2018/8/16	2024/8/21	critical
111981	Mozilla Thunderbird < 60.0	Nessus	Windows	2018/8/20	2025/11/18	critical
275629	Mozilla Thunderbird < 60.0	Nessus	MacOS X Local Security Checks	2025/11/18	2025/11/18	critical
110917	Oracle Linux 7：firefox（ELSA-2018-2113）	Nessus	Oracle Linux Local Security Checks	2018/7/5	2024/10/22	critical
117894	GLSA-201810-01：Mozilla Firefox：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/10/3	2024/8/1	critical
288963	MiracleLinux 7firefox-60.1.0-5.0.1.el7AXSA:2018-3259:05	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical