このMozillaThunderbird用の更新プログラムでは、次の問題が修正されています：

  - 68.8.0 ESR MFSA 2020-18に更新します（bsc#1171186）

  - CVE-2020-12397（bmo#1617370）エンコードされたUnicode文字を使用する送信者電子メールアドレススプーフィング

  - CVE-2020-12387（bmo#1545345）ワーカーシャットダウン中のメモリ解放後使用

  - CVE-2020-6831（bmo#1632241）SCTPチャンク入力検証でのバッファオーバーフロー

  - CVE-2020-12392（bmo#1614468）「Copy as cURL」を使用した任意のローカルファイルアクセス

  - CVE-2020-12393（bmo#1615471）Devtoolsの「Copy as cURL」機能はWebサイト制御のデータを完全にはエスケープせず、コマンドインジェクションが引き起こされる可能性がありました

  - CVE-2020-12395（bmo#1595886、bmo#1611482、bmo#1614704、bmo#1624098、bmo#1625749、bmo#1626382、bmo#1628076、bmo#1631508）Thunderbird 68.8.0で修正されたメモリ安全性に関するバグ

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートの Redhat Enterprise Linux 6ホストに、RHSA-2020アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。2049のアドバイザリ。

  - Mozilla：ワーカーシャットダウン中のメモリ解放後使用 (CVE-2020-12387)

  - Mozilla：「Copy as cURL」を使用した任意のローカルファイルアクセス (CVE-2020-12392)

  - Mozilla：Firefox 76と Firefox ESR 68.8で修正されたメモリ安全性に関するバグ（CVE-2020-12395）

  - Mozilla：エンコードされたUnicode文字を使用する送信者の電子メールアドレススプーフィング（CVE-2020-12397）

  - usrsctp：AUTHチャンクの入力検証でのバッファオーバーフロー (CVE-2020-6831)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 6ホストインストールされているパッケージは、RHSA-2020: 2036アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla：ワーカーシャットダウン中のメモリ解放後使用 (CVE-2020-12387)

  - Mozilla：「Copy as cURL」を使用した任意のローカルファイルアクセス (CVE-2020-12392)

  - Mozilla：Firefox 76と Firefox ESR 68.8で修正されたメモリ安全性に関するバグ（CVE-2020-12395）

  - usrsctp：AUTHチャンクの入力検証でのバッファオーバーフロー (CVE-2020-6831)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの macOS または Mac OS X ホストにインストールされている Firefox ESR のバージョンは、68.8 より前です。したがって、mfsa2020-17 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla の開発者およびコミュニティメンバーの Alexandru Michis 氏、Jason Kratzer 氏、Philipp、Ted Campbell 氏、Bas Schouten 氏、Andr Bargull 氏、Karl Tomlinson 氏は、Firefox 75 および Firefox ESR にメモリの安全性に関するバグが存在することを報告しました 68.7。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2020-12395)

  - Firefox コンテンツプロセスは、アクセスコントロールを十分にロックダウンしていないため、サンドボックスエスケープを引き起こす可能性があります。注: この問題は、Windows オペレーティングシステム上の Firefox にのみ影響します。(CVE-2020-12388、CVE-2020-12389)

  - Web Worker 用のシャットダウンコードを実行する際の競合状態により、メモリ解放後使用 (Use After Free) の脆弱性が発生しました。これにより、悪用可能なクラッシュが引き起こされる可能性があります。(CVE-2020-12387)

  - WebRTC で SCTP チャンクを解析および検証する際に、バッファオーバーフローが発生する可能性があります。これにより、メモリ破損と悪用可能なクラッシュが発生する可能性がありました。(CVE-2020-6831)

  - Devtools のネットワークタブの「Copy as cURL」機能で、リクエストの HTTP POST データが適切にエスケープされませんでした。これは、ウェブサイトで制御できます。ユーザーが「Copy as cURL」機能を使用し、コマンドをターミナルに貼り付けた場合、ローカルファイルが漏洩する可能性がありました。(CVE-2020-12392)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

セキュリティ修正プログラム:

  - Mozilla: ワーカーシャットダウン中のメモリ解放後使用 (CVE-2020-12387)

  - Mozilla: Firefox 76とFirefox ESR 68.8で修正されたメモリ安全性に関するバグ（CVE-2020-12395）

  - Mozilla：SCTPチャンクの入力検証でのバッファオーバーフロー (CVE-2020-6831)

  - Mozilla: 「Copy as cURL」を使用した任意のローカルファイルアクセス（CVE-2020-12392）

リモートのmacOSまたはMac OS XホストにインストールされているFirefoxのバージョンは、76.0より前です。したがって、mfsa2020-16アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozillaの開発者およびコミュニティメンバーのAlexandru Michis氏、Jason Kratzer氏、Philipp氏、Ted Campbell氏、Bas Schouten氏、Andr Bargull氏、およびKarl Tomlinson氏は、Firefox 75およびFirefox ESRにメモリの安全性に関するバグが存在することを報告しました 68.7。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、十分な労力をもってすればこれらの一部を悪用し、任意のコードを実行することが可能であると推測しています。(CVE-2020-12395)

  - Firefox コンテンツプロセスは、アクセスコントロールを十分にロックダウンしていないため、サンドボックスエスケープを引き起こす可能性があります。注: この問題は、Windows オペレーティングシステム上の Firefox にのみ影響します。(CVE-2020-12388、CVE-2020-12389)

  - Web Worker 用のシャットダウンコードを実行する際の競合状態により、メモリ解放後使用 (Use After Free) の脆弱性が発生しました。これにより、悪用可能なクラッシュが引き起こされる可能性があります。(CVE-2020-12387)

  - WebRTC で SCTP チャンクを解析および検証する際に、バッファオーバーフローが発生する可能性があります。これにより、メモリ破損と悪用可能なクラッシュが発生する可能性がありました。（CVE-2020-6831）

  - IPv6アドレスを含むURLの不適切なオリジンシリアル化により、不適切なセキュリティチェックが発生する可能性がありました。（CVE-2020-12390）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

MozillaFirefox用のこの更新プログラムでは、次の問題を修正します：

バージョン68.8.0 ESRへの更新（bsc#1171186）：

CVE-2020-12387：ワーカーシャットダウン中のメモリ解放後使用

CVE-2020-12388：不適切に保護されたアクセストークンによるサンドボックスエスケープ

CVE-2020-12389：不適切に分離されたプロセスタイプによるサンドボックスエスケープ

CVE-2020-6831：SCTPチャンク入力検証でのバッファオーバーフロー

CVE-2020-12392：「Copy as cURL」を使用した任意のローカルファイルアクセス

CVE-2020-12393：Devtoolsの「Copy as cURL」機能はWebサイト制御のデータを完全にはエスケープせず、コマンドインジェクションが引き起こされる可能性がありました

CVE-2020-12395：Firefox 76とFirefox ESR 68.8で修正されたメモリ安全性に関するバグ

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Oracle Linux 8 ホストに、ELSA-2020-2031 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - WebRTC で SCTP チャンクを解析および検証する際に、バッファオーバーフローが発生する可能性があります。これにより、メモリ破損と悪用可能なクラッシュを引き起こす可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 68.8、Firefox < 76、および Thunderbird < 68.8.0 です。(CVE-2020-6831)

  - Web Worker 用のシャットダウンコードを実行する際の競合状態により、メモリ解放後使用 (Use After Free) の脆弱性が発生しました。これにより、悪用可能なクラッシュが引き起こされる可能性があります。この脆弱性の影響を受けるのは、Firefox ESR < 68.8、Firefox < 76、および Thunderbird < 68.8.0 です。(CVE-2020-12387)

  - Devtools のネットワークタブの「Copy as cURL」機能で、リクエストの HTTP POST データが適切にエスケープされませんでした。これは、ウェブサイトで制御できます。ユーザーが「Copy as cURL」機能を使用し、コマンドをターミナルに貼り付けた場合、ローカルファイルが漏洩する可能性がありました。この脆弱性の影響を受けるのは、Firefox ESR < 68.8、Firefox < 76、および Thunderbird < 68.8.0 です。(CVE-2020-12392)

  - Mozilla 開発者およびコミュニティメンバーは、Firefox 75 と Firefox ESR 68.7 に存在するメモリ安全性のバグを報告しました。これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox ESR < 68.8、Firefox < 76、および Thunderbird < 68.8.0 です。(CVE-2020-12395)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
136461	openSUSEセキュリティ更新プログラム：MozillaThunderbird（openSUSE-2020-643）	Nessus	SuSE Local Security Checks	2020/5/11	2024/3/13	critical
136477	RHEL 6：thunderbird（RHSA-2020：2049)	Nessus	Red Hat Local Security Checks	2020/5/11	2024/11/7	critical
136354	RHEL 6：firefox（RHSA-2020：2036)	Nessus	Red Hat Local Security Checks	2020/5/6	2024/11/7	critical
136356	Mozilla Firefox ESR < 68.8	Nessus	MacOS X Local Security Checks	2020/5/7	2025/11/18	critical
136389	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のfirefox（20200506）	Nessus	Scientific Linux Local Security Checks	2020/5/7	2024/3/13	critical
136403	Mozilla Firefox < 76.0	Nessus	MacOS X Local Security Checks	2020/5/7	2025/11/18	critical
136649	SUSE SLED15 / SLES15セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2020:1209-1）	Nessus	SuSE Local Security Checks	2020/5/15	2024/3/12	critical
180897	Oracle Linux 8: Firefox (ELSA-2020-2031)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/23	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical