远程 Redhat Enterprise Linux 8 主机上安装的一个程序包受到 RHSA-2022: 1705 公告中提及的多个漏洞影响。

  - Mozilla：绕过嵌套浏览上下文中的权限提示 (CVE-2022-29909)

  - Mozilla：绕过 iframe 沙盒 (CVE-2022-29911)

  - Mozilla：阅读器模式绕过 SameSite cookie (CVE-2022-29912)

  - Mozilla：使用弹出窗口时绕过全屏通知 (CVE-2022-29914)

  - Mozilla：通过 CSS 变量泄露浏览器历史记录 (CVE-2022-29916)

  - Mozilla：在 Firefox 100 和 Firefox ESR 91.9 中修复了内存安全缺陷 (CVE-2022-29917)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2022-1705 公告中提及的多个漏洞的影响。

  - Firefox 未正确防范通过 <code>allow-top-navigation-by-user-activation</code> 等关键字放宽策略的 iframe 沙盒的顶级导航。(CVE-2022-29911)

  - 深度嵌套的跨源浏览上下文中的文档可能会获取授予顶级源的权限，从而绕过现有提示并错误地继承顶级权限。
    (CVE-2022-29909)

  - 通过阅读器模式发起的请求未正确忽略具有 SameSite 属性的 Cookie。
    (CVE-2022-29912)

  - 当重复使用现有的弹出窗口时，Firefox 将允许其覆盖全屏通知 UI，从而有可能启动浏览器欺骗攻击。(CVE-2022-29914)

  - 当加载涉及 CSS 变量的 CSS 资源时，Firefox 对已知资源的处理行为略有不同。此漏洞可用于探测浏览器历史记录。(CVE-2022-29916)

  - Mozilla 开发人员 Andrew McCreight、Gabriele Svelto、Tom Ritter 以及 Mozilla Fuzzing 团队报告 Firefox 99 与 Firefox ESR 91.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-29917)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的一个程序包受到 RHSA-2022: 1701 公告中提及的多个漏洞影响。

  - Mozilla：绕过嵌套浏览上下文中的权限提示 (CVE-2022-29909)

  - Mozilla：绕过 iframe 沙盒 (CVE-2022-29911)

  - Mozilla：阅读器模式绕过 SameSite cookie (CVE-2022-29912)

  - Mozilla：使用弹出窗口时绕过全屏通知 (CVE-2022-29914)

  - Mozilla：通过 CSS 变量泄露浏览器历史记录 (CVE-2022-29916)

  - Mozilla：在 Firefox 100 和 Firefox ESR 91.9 中修复了内存安全缺陷 (CVE-2022-29917)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 91.9。因此，其会受到 mfsa2022-18 公告中提及的多个漏洞影响。

  - 查看包含附加消息 B（已加密或已数字签名或两者兼有）的电子邮件消息 A 时，Thunderbird 可能显示不正确的加密或签名状态。打开并查看附加的消息 B 后，当返回到消息 A 的显示界面时，消息 A 可能会以消息 B 的安全状态显示。(CVE-2022-1520)

  - 当重复使用现有的弹出窗口时，Thunderbird 将允许其覆盖全屏通知 UI，从而有可能启动浏览器欺骗攻击。(CVE-2022-29914)

  - 深度嵌套的跨源浏览上下文中的文档可能会获取授予顶级源的权限，从而绕过现有提示并错误地继承顶级权限。
    (CVE-2022-29909)

  - 当通过解析 CSS 变量加载 CSS 资源时，Thunderbird 对已知资源的处理行为略有不同。此漏洞可用于探测浏览器历史记录。(CVE-2022-29916)

  - Thunderbird 未正确防范通过 <code>allow-top-navigation-by-user-activation</code> 等关键字放宽策略的 iframe 沙盒的顶级导航。(CVE-2022-29911)

  - 通过阅读器模式发起的请求未正确忽略具有 SameSite 属性的 Cookie。
    (CVE-2022-29912)

  - 从子进程接收指令时，父进程不会正确检查是否启用了语音合成功能。(CVE-2022-29913)

  - Mozilla 开发人员 Gabriele Svelto、Tom Ritter 以及 Mozilla Fuzzing 团队报告 Thunderbird 91.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-29917)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Thunderbird 版本低于 91.9。因此，其会受到 mfsa2022-18 公告中提及的多个漏洞影响。

  - 查看包含附加消息 B（已加密或已数字签名或两者兼有）的电子邮件消息 A 时，Thunderbird 可能显示不正确的加密或签名状态。打开并查看附加的消息 B 后，当返回到消息 A 的显示界面时，消息 A 可能会以消息 B 的安全状态显示。(CVE-2022-1520)

  - 当重复使用现有的弹出窗口时，Thunderbird 将允许其覆盖全屏通知 UI，从而有可能启动浏览器欺骗攻击。(CVE-2022-29914)

  - 深度嵌套的跨源浏览上下文中的文档可能会获取授予顶级源的权限，从而绕过现有提示并错误地继承顶级权限。
    (CVE-2022-29909)

  - 当通过解析 CSS 变量加载 CSS 资源时，Thunderbird 对已知资源的处理行为略有不同。此漏洞可用于探测浏览器历史记录。(CVE-2022-29916)

  - Thunderbird 未正确防范通过 <code>allow-top-navigation-by-user-activation</code> 等关键字放宽策略的 iframe 沙盒的顶级导航。(CVE-2022-29911)

  - 通过阅读器模式发起的请求未正确忽略具有 SameSite 属性的 Cookie。
    (CVE-2022-29912)

  - 从子进程接收指令时，父进程不会正确检查是否启用了语音合成功能。(CVE-2022-29913)

  - Mozilla 开发人员 Gabriele Svelto、Tom Ritter 以及 Mozilla Fuzzing 团队报告 Thunderbird 91.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-29917)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 7 主机上安装的一个程序包受到 ELSA-2022-1725 公告中提及的多个漏洞的影响。

  - Thunderbird 未正确防范通过 <code>allow-top-navigation-by-user-activation</code> 等关键字放宽策略的 iframe 沙盒的顶级导航。(CVE-2022-29911)

  - 深度嵌套的跨源浏览上下文中的文档可能会获取授予顶级源的权限，从而绕过现有提示并错误地继承顶级权限。
    (CVE-2022-29909)

  - 通过阅读器模式发起的请求未正确忽略具有 SameSite 属性的 Cookie。
    (CVE-2022-29912)

  - 当重复使用现有的弹出窗口时，Thunderbird 将允许其覆盖全屏通知 UI，从而有可能启动浏览器欺骗攻击。(CVE-2022-29914)

  - Mozilla 开发人员 Gabriele Svelto、Tom Ritter 以及 Mozilla Fuzzing 团队报告 Thunderbird 91.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-29917)

  - 从子进程接收指令时，父进程不会正确检查是否启用了语音合成功能。(CVE-2022-29913)

  - 查看包含附加消息 B（已加密或已数字签名或两者兼有）的电子邮件消息 A 时，Thunderbird 可能显示不正确的加密或签名状态。打开并查看附加的消息 B 后，当返回到消息 A 的显示界面时，消息 A 可能会以消息 B 的安全状态显示。(CVE-2022-1520)

  - 当通过解析 CSS 变量加载 CSS 资源时，Thunderbird 对已知资源的处理行为略有不同。此漏洞可用于探测浏览器历史记录。(CVE-2022-29916)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
160509	RHEL 8：firefox (RHSA-2022: 1705)	Nessus	Red Hat Local Security Checks	2022/5/4	2024/4/28	critical
160510	Oracle Linux 8：firefox (ELSA-2022-1705)	Nessus	Oracle Linux Local Security Checks	2022/5/4	2023/10/31	critical
160515	RHEL 8：firefox (RHSA-2022: 1701)	Nessus	Red Hat Local Security Checks	2022/5/4	2024/4/28	critical
160526	Mozilla Thunderbird < 91.9	Nessus	MacOS X Local Security Checks	2022/5/5	2023/10/31	critical
160527	Mozilla Thunderbird < 91.9	Nessus	Windows	2022/5/5	2023/10/31	critical
160632	Oracle Linux 7：thunderbird (ELSA-2022-1725)	Nessus	Oracle Linux Local Security Checks	2022/5/5	2023/10/30	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical