thunderbirdの更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdをバージョン60.8.0にアップグレードします。セキュリティ修正プログラム：* Mozilla：Firefox 68およびFirefox ESR 60.8で修正されたメモリの安全性に関するバグ（CVE-2019-11709）* Mozilla：悪意のある言語パックのインストールによるサンドボックスの回避（CVE-2019-9811）* Mozilla：内部ウィンドウの再利用によるドメイン内のスクリプトインジェクション（CVE-2019-11711）* Mozilla：308のリダイレクトに従い、NPAPIプラグインによってオリジン間POSTリクエストが行われる可能性がある（CVE-2019-11712）* Mozilla：HTTP/2のキャッシュされたストリームによるメモリ解放後使用（Use After Free）（CVE-2019-11713）* Mozilla：HTML解析エラーがコンテンツのXSSの原因となる可能性がある（CVE-2019-11715）* Mozilla：キャレット文字がオリジンで不適切にエスケープされた（CVE-2019-11717）* Mozilla：同一オリジンポリシーがディレクトリ内のすべてのファイルを同一オリジンを持つものとして処理する（CVE-2019-11730）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートの Windows ホストにインストールされている Thunderbird は、68.0 より前のバージョンです。したがって、mfsa2019-28のアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  -スクリプトによって明示的にアクセスされるまで、 <code>window.globalThis</code> は列挙可能ではないため、 <code>Object.getOwnPropertyNames(window)</code>などのコードに表示されません。ウィンドウオブジェクトへのアクセスの列挙とフリーズに依存するサンドボックスをデプロイするサイトは、これを見逃している可能性があります。これにより、サンドボックスがバイパスされる可能性があります。CVE-2019-11716

  - NeckoはUDP接続中に誤ったスレッドで子にアクセスできるため、場合により、潜在的に悪用可能なクラッシュを引き起こす可能性があります。CVE-2019-11714

  - 内部ウィンドウが再利用されるとき、内部ウィンドウはオリジン間保護に対して <code>document.domain</code> の使用を考慮しません。 <code>:</code>​ <code>​</code> ​発見しました。CVE-2019-11711

  - NPAPI プラグインによって作成された Flash などの POST リクエストは、ステータス 308 のリダイレクト応答を受信すると、CORS 要件をバイパスする可能性があります。これにより、攻撃者がクロスサイトリクエストフォージェリ（CSRF）攻撃を実行する可能性があります。
    (CVE-2019-11712)

  - まだ使用中のキャッシュされた HTTP/2 ストリームを閉じると、HTTP/2 に use-after-free の脆弱性が発生し、悪用可能なクラッシュを引き起こす可能性があります。CVE-2019-11713

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

MozillaFirefox用のこの更新プログラムでは、次の問題を修正します：

新しいESRバージョン68.1に更新しました（bsc#1149323）。

以前のESR更新でリリースされたすでに修正済みの脆弱性に加えて、以下も修正されました：CVE-2019-11751、CVE-2019-11736、CVE-2019-9812、CVE-2019-11748、CVE-2019-11749、CVE-2019-11750、CVE-2019-11738、CVE-2019-11747、CVE-2019-11735。

いくつかのランタイムの問題も解決されました（bsc#1117473、bsc#1124525、bsc#1133810）。

［Help］>［About］に正しいバージョンが表示されるようになりました（bsc#1087200）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
126792	CentOS 6：Thunderbird（CESA-2019:1777）	Nessus	CentOS Local Security Checks	2019/7/19	2024/5/9	critical
128970	Mozilla Thunderbird < 68.0	Nessus	Windows	2019/9/17	2025/11/18	critical
129772	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2019:2620-1）	Nessus	SuSE Local Security Checks	2019/10/10	2024/4/18	critical

検出

プラグインの検索

critical

critical

critical