リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:01946-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird 128.11 (MFSA 2025-46、bsc#1243353) に更新します:

    - CVE-2025-5262libvpx エンコーダーの二重解放bmo#1962421
    - CVE-2025-5263: スクリプト実行のエラー処理が、Web コンテンツから不適切に隔離されていました (bmo#1960745)
    - CVE-2025-5264:「Copy as cURL」コマンドにおける潜在的なローカルコード実行 (bmo#1950001)
    - CVE-2025-5265:「Copy as cURL」コマンドにおける潜在的なローカルコード実行 (bmo#1962301)
    - CVE-2025-5266: スクリプト要素イベントにより、クロスオリジンリソースの状態が漏洩しました (bmo#1965628)
    - CVE-2025-5267: クリックジャッキングの脆弱性により、保存された支払カードの詳細が漏洩する可能性があります (bmo#1954137)
    - CVE-2025-5268: Firefox 139、Firefox ESR 128.11、および Thunderbird 128.11 で修正されたメモリの安全性のバグ (bmo#1950136、bmo#1958121、bmo#1960499、bmo#1962634)
    - CVE-2025-5269: Firefox ESR 128.11 および Thunderbird 128.11 で修正されたメモリの安全性のバグ (bmo#1924108)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4194 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4194-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emilio Pozuelo Monfort 2025 年 5 月 30 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : thunderbird バージョン : 1:128.11.0esr-1~deb11u1 CVE ID : CVE-2025-4918 CVE-2025-4919 CVE-2025-5263 CVE-2025-5264 CVE-2025-5266 CVE-2025-5267 CVE-2025-5268 CVE-2025-5269 CVE-2025-5283

    Thunderbird に複数のセキュリティの問題が発見されました。これにより、任意コード実行または情報漏洩が発生する可能性がありました。

    Debian 11 bullseye においては、これらの問題はバージョン 1:128.11.0esr-1~deb11u1 で修正されました。

    お使いの thunderbird パッケージをアップグレードすることを推奨します。

    thunderbird の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/thunderbird

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2025:8599 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird は、スタンドアロンのメールおよびニュースグループクライアントです。

    セキュリティ修正プログラム:

    * firefox: thunderbird: Promise オブジェクトを解決する際の領域外アクセス (CVE-2025-4918)

    * firefox: thunderbird: リニアサムを最適化する際の領域外アクセス (CVE-2025-4919)

    * firefox: thunderbird: クリックジャッキングの脆弱性により、保存された支払カードの詳細が漏洩する可能性があります (CVE-2025-5267)

    * firefox: thunderbird: ?Copy as cURL? コマンドでローカルコードが実行される可能性がある (CVE-2025-5264)

    * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5268)

    * firefox: thunderbird: スクリプト要素イベントにより、クロスオリジンリソースの状態が漏洩しました (CVE-2025-5266)

    * firefox: thunderbird: スクリプト実行のエラー処理が、Web コンテンツから不適切に隔離されていました (CVE-2025-5263)

    * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5269)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2025:8598 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird は、スタンドアロンのメールおよびニュースグループクライアントです。

    セキュリティ修正プログラム:

    * firefox: thunderbird: Promise オブジェクトを解決する際の領域外アクセス (CVE-2025-4918)

    * firefox: thunderbird: リニアサムを最適化する際の領域外アクセス (CVE-2025-4919)

    * firefox: thunderbird: クリックジャッキングの脆弱性により、保存された支払カードの詳細が漏洩する可能性があります (CVE-2025-5267)

    * firefox: thunderbird: ?Copy as cURL? コマンドでローカルコードが実行される可能性がある (CVE-2025-5264)

    * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5268)

    * firefox: thunderbird: スクリプト要素イベントにより、クロスオリジンリソースの状態が漏洩しました (CVE-2025-5266)

    * firefox: thunderbird: スクリプト実行のエラー処理が、Web コンテンツから不適切に隔離されていました (CVE-2025-5263)

    * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5269)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2025-8756 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [128.11.0-1.0.1]
    - 新しい nss の prefs を修正します [Orabug: 37079820]
    - Oracle prefs ファイルを追加します

    [128.11.0]
    - OpenELA ブランド解除を追加

    [128.11.0-1]
    - 128.11.0 に更新

    [128.10.1-1]
    - 128.10.1 に更新

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2025-996 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    攻撃者は、JavaScript「Promise」オブジェクトで領域外の読み取りまたは書き込みを実行できました。この脆弱性の影響を受けるのは、Firefox < 138.0.4、Firefox ESR < 128.10.1、および Firefox ESR < 115.23.1 です。
    (CVE-2025-4918)

    攻撃者は、配列インデックスサイズを混乱させることで、JavaScript オブジェクトで領域外の読み取りまたは書き込みを実行できました。この脆弱性の影響を受けるのは、Firefox < 138.0.4、Firefox ESR < 128.10.1、および Firefox ESR < 115.23.1 です。(CVE-2025-4919)

    スクリプト実行のエラー処理は Web コンテンツから不適切に隔離されました。これにより、クロスオリジン漏洩攻撃が引き起こされる可能性があります。この脆弱性の影響を受けるのは、Firefox < 139、Firefox ESR < 115.24、および Firefox ESR < 128.11 です。(CVE-2025-5263)

    「Copy as cURL」機能内の改行文字のエスケープが不十分なため、攻撃者がユーザーを騙してこのコマンドを使用させ、ユーザーのシステム上でローカルコードが実行される可能性があります。
    この脆弱性の影響を受けるのは、Firefox < 139、Firefox ESR < 115.24、および Firefox ESR < 128.11 です。(CVE-2025-5264)

    「Copy as cURL」機能内のアンパサンド文字のエスケープが不十分なため、攻撃者がユーザーを騙してこのコマンドを使用させ、ユーザーのシステムでローカルコードが実行される可能性があります。*このバグの影響を受けるのは、Windows 版の Firefox のみです。Firefox の他のバージョンは影響を受けません。* この脆弱性は、Firefox < 139、Firefox ESR < 115.24、および Firefox ESR < 128.11 に影響します。(CVE-2025-5265)

    オリジン間リソースを読み込むスクリプト要素が、ロードイベントとエラーイベントを生成し、これが情報漏洩を引き起こし、XS-Leaks 攻撃が可能になりました。この脆弱性の影響を受けるのは、Firefox < 139 および Firefox ESR < 128.11 です。
    (CVE-2025-5266)

    クリックジャッキングの脆弱性を利用して、ユーザーを騙し、保存されている支払いカードの詳細を悪意のあるページに漏洩する可能性があります。この脆弱性の影響を受けるのは、Firefox < 139 および Firefox ESR < 128.11 です。(CVE-2025-5267)

    Firefox 138、Thunderbird 138、Firefox ESR 128.10、および Thunderbird 128.10 にメモリの安全性のバグが存在します。
    これらのバグの一部にはメモリ破損の証拠が示されており、当社では、手間をかけることにより、これらの一部が悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox < 139 および Firefox ESR < 128.11 です。(CVE-2025-5268)

    Firefox ESR 128.10、および Thunderbird 128.10 に存在するメモリの安全性のバグ。このバグにはメモリ破損の証拠が示されており、当社では、十分な労力をもってすれば、これが悪用され、任意のコードが実行される可能性があると推測しています。この脆弱性の影響を受けるのは、Firefox ESR < 128.11 です。(CVE-2025-5269)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの AlmaLinux 9 ホストに、ALSA-2025:8607 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * firefox: thunderbird: Promise オブジェクトを解決する際の領域外アクセス (CVE-2025-4918)
      * firefox: thunderbird: リニアサムを最適化する際の領域外アクセス (CVE-2025-4919)
      * firefox: thunderbird: クリックジャッキングの脆弱性により、保存された支払カードの詳細が漏洩する可能性があります (CVE-2025-5267)
      * firefox: thunderbird: ?Copy as cURL? コマンドでローカルコードが実行される可能性がある (CVE-2025-5264)
      * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5268)
      * firefox: thunderbird: スクリプト要素イベントにより、クロスオリジンリソースの状態が漏洩しました (CVE-2025-5266)
      * firefox: thunderbird: スクリプト実行のエラー処理が、Web コンテンツから不適切に隔離されていました (CVE-2025-5263)
      * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5269)

Tenable は、前述の記述ブロックを AlmaLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート RockyLinux 8 ホストに、RLSA-2025:8756 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * thunderbird: 偽装された PDF 添付ファイルと file:/// リンクによる JavaScript の実行 (CVE-2025-3909)

    * thunderbird: Thunderbird の無効な形式のヘッダーを介した送信者のなりすまし (CVE-2025-3875)

    * thunderbird: 不正なファイルダウンロード、ディスクスペースの枯渇、mailbox:/// リンクを介した認証情報の漏洩 (CVE-2025-3877)

    * thunderbird: 添付ファイル内のリンクの追跡によりリモートコンテンツブロックが回避される (CVE-2025-3932)

    * firefox: thunderbird: Promise オブジェクトを解決する際の領域外アクセス (CVE-2025-4918)

    * firefox: thunderbird: リニアサムを最適化する際の領域外アクセス (CVE-2025-4919)

    * firefox: thunderbird: クリックジャッキングの脆弱性により、保存された支払カードの詳細が漏洩する可能性があります (CVE-2025-5267)

    * firefox: thunderbird: ?Copy as cURL? コマンドでローカルコードが実行される可能性がある (CVE-2025-5264)

    * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5268)

    * firefox: thunderbird: スクリプト要素イベントにより、クロスオリジンリソースの状態が漏洩しました (CVE-2025-5266)

    * firefox: thunderbird: スクリプト実行のエラー処理が、Web コンテンツから不適切に隔離されていました (CVE-2025-5263)

    * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5269)

Tenable は、前述の記述ブロックを RockyLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
240846	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新: MozillaThunderbird (SUSE-SU-2025:01946-1)	Nessus	SuSE Local Security Checks	2025/6/27	2025/6/27	medium
237582	Debian dla-4194 : thunderbird - セキュリティ更新	Nessus	Debian Local Security Checks	2025/5/30	2025/6/12	high
237799	RHEL 9 : thunderbird (RHSA-2025:8599)	Nessus	Red Hat Local Security Checks	2025/6/5	2025/6/5	high
237804	RHEL 9 : thunderbird (RHSA-2025:8598)	Nessus	Red Hat Local Security Checks	2025/6/5	2025/6/5	high
238235	Oracle Linux 8 : thunderbird (ELSA-2025-8756)	Nessus	Oracle Linux Local Security Checks	2025/6/11	2025/6/12	high
238277	Amazon Linux 2023 : firefox (ALAS2023-2025-996)	Nessus	Amazon Linux Local Security Checks	2025/6/12	2025/6/12	high
241264	AlmaLinux 9: thunderbird (ALSA-2025:8607)	Nessus	Alma Linux Local Security Checks	2025/7/3	2025/7/3	high
243133	RockyLinux 8: thunderbird (RLSA-2025:8756)	Nessus	Rocky Linux Local Security Checks	2025/7/30	2025/7/30	high

検出

プラグインの検索

medium

high

high

high

high

high

high

high