リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、128.0 より前です。したがって、mfsa2024-32 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - メモリが不足になりそうな場合、一度も割り当てられなかった楕円曲線キーが再度解放される可能性があります。
    (CVE-2024-6609)

  - Async Generators に関連する ECMA-262 仕様のエラーにより、型の取り違えが発生し、メモリ破損や悪用されうるクラッシュにつながる可能性があります。(CVE-2024-7652)

  - クリップボードコードで、配列アクセスのインデックスをチェックできませんでした。これにより、境界外読み取りが発生する可能性があります。
    (CVE-2024-6606)

  - ユーザーが Esc を押したときのポインターロック終了を防ぎ、<code><select></code> 要素からの customValidity 通知を特定のアクセス許可プロンプトにオーバーレイすることが可能でした。
    これを悪用してユーザーを混乱させ、サイトに意図しない権限を付与する可能性があります。(CVE-2024-6607)

  - ポインターロックを使用して、iframe からカーソルを移動することが可能でした。これにより、カーソルをビューポートおよび Firefox アプリケーションウィンドウの外側に移動させることが可能でした。(CVE-2024-6608)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:3507-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - Mozilla Thunderbird 128.2.3 MFSA 2024-43（bsc#1229821）
      * CVE-2024-8394: OTR チャットの検証を中止する際のクラッシュ。
      * CVE-2024-8385: ArrayTypes を含む WASM の型の取り違え (Type Confusion)。
      * CVE-2024-8381:「with」ブロックでプロパティ名を検索する際の型の取り違え (Type Confusion)。
      * CVE-2024-8382: 内部イベントインターフェースが、ブラウザの EventHandler リスナーコールバックが実行される際の、ウェブコンテンツの漏洩。
      * CVE-2024-8384: ガベージコレクションにより、OOM 条件でコンパートメントをまたぐオブジェクトの色が誤って色付けされる可能性。
      * CVE-2024-8386: ポップアップが許可されている場合、SelectElements が別のサイトの上に重なって表示される可能性。
      * CVE-2024-8387: Firefox 130、Firefox ESR 128.2、および Thunderbird 128.2 で修正されたメモリの安全性のバグ。
      MFSA 2024-37 (bsc#1228648)
      * CVE-2024-7518: フルスクリーンの通知ダイアログが、ドキュメントのコンテンツによって不明瞭になる可能性があります。
      * CVE-2024-7519: グラフィックス共有メモリ処理における領域外のメモリアクセス。
      * CVE-2024-7520: WebAssembly における型の取り違え (Type Confusion)。
      * CVE-2024-7521: 不完全な WebAssembly 例外処理。
      * CVE-2024-7522: エディターコンポーネントにおける領域外の読み取り。
      * CVE-2024-7525: StreamFilter を作成する際のアクセス許可チェックの欠落。
      * CVE-2024-7526: WebGL が使用する初期化されていないメモリ。
      * CVE-2024-7527: JavaScript ガベージコレクションにおけるメモリ解放後使用 (Use After Free)。
      * CVE-2024-7528: IndexedDB での use-after-free。
      * CVE-2024-7529: ドキュメントのコンテンツがセキュリティプロンプトを部分的に不明瞭にする可能性があります。
      MFSA 2024-32 (bsc#1226316)
      * CVE-2024-6606: クリップボードコンポーネントにおける領域外の読み取り。
      * CVE-2024-6607: エスケープキーを押すことによるポインターロックの放置を防ぐことができます。
      * CVE-2024-6608: ポインターロックを使用して、カーソルがビューポート外に移動する可能性があります。
      * CVE-2024-6609: NSS でのメモリ破損。
      * CVE-2024-6610: フォーム検証ポップアップが、フルスクリーンモードの終了をブロックする可能性があります。
      * CVE-2024-6600: WebGL API でのメモリ破損。
      * CVE-2024-6601: アクセス許可割り当ての競合状態。
      * CVE-2024-6602: NSS でのメモリ破損。
      * CVE-2024-6603: スレッド作成でのメモリ破損。
      * CVE-2024-6611: SameSite クッキーの不適切な処理。
      * CVE-2024-6612: devtools を使用する際の CSP 違反の漏洩。
      * CVE-2024-6613: スタックフレームの不適切なリスト。
      * CVE-2024-6614: スタックフレームの不適切なリスト。
      * CVE-2024-6604: Firefox 128、Firefox ESR 115.13、Thunderbird 128、および Thunderbird 115.13 で修正されたメモリの安全性のバグ。
      * CVE-2024-6615: Firefox 128、Thunderbird 128 で修正されたメモリの安全性のバグ。

    バグ修正：
    - セキュリティキー (Yubikeys など) をすぐに使えるようにするために、libfido2-udev を推奨します。
    (bsc#1184272)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
202468	Mozilla Thunderbird < 128.0	Nessus	MacOS X Local Security Checks	2024/7/16	2025/11/18	high
208022	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: MozillaThunderbird (SUSE-SU-2024:3507-1)	Nessus	SuSE Local Security Checks	2024/10/2	2025/2/3	critical

検出

プラグインの検索

high

critical