thunderbird 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.2.1。安全修复：* Mozilla：Firefox 62 和 Firefox ESR 60.2 中的内存安全缺陷已修复 (CVE-2018-12376) * Mozilla：在驱动程序定时器中发现释放后使用 (CVE-2018-12377) * Mozilla：在 IndexedDB 中发现释放后使用 (CVE-2018-12378) * Mozilla：使用自动安装和自动挂载时发现 Proxy 绕过 (CVE-2017-16541) * Mozilla：使用恶意 MAR 文件进行越界写入 (CVE-2018-12379) * Mozilla：由于缓存数据造成 TransportSecurityInfo 中的崩溃 (CVE-2018-12385) * Mozilla：设置主密码 post-Firefox 58 并未删除之前保存的未加密密码 (CVE-2018-12383) 注意：在 Thunderbird 中，无法通过特制 HTML 邮件利用上述所有问题，因为邮件消息已禁用 JavaScript，并无法启用。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的远程内容时。有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell、Nils、Zhanjia Song、Holger Fuhrmannek、Philipp 和 Jurgen Gaeremyn。

来自 Red Hat 安全公告 2018:3458： thunderbird 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Thunderbird 是独立的邮件和新闻组客户端。 此更新将 Thunderbird 升级到版本 60.2.1。 安全补丁： * Mozilla：在 Firefox 62 和 Firefox ESR 60.2 中修复了内存安全缺陷 (CVE-2018-12376) * Mozilla：驱动程序计时器中的释放后使用 (CVE-2018-12377) * Mozilla：IndexedDB 中的释放后使用 (CVE-2018-12378) * Mozilla：使用 automount 和 autofs 的代理绕过 (CVE-2017-16541) * Mozilla：使用恶意 MAR 文件的越界写入 (CVE-2018-12379) * Mozilla：由于缓存的数据，导致 TransportSecurityInfo 发生崩溃 (CVE-2018-12385) * Mozilla：设置主密码 post-Firefox 58 并未删除之前保存的未加密密码 (CVE-2018-12383) 注意：特别构建的 HTML 邮件无法在 Thunderbird 中利用所有上述问题，因为对邮件消息禁用 JavaScript 且无法启用。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源远程内容的情况。 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、 Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell、Nils、Zhanjia Song、Holger Fuhrmannek、Philipp 和 Jurgen Gaeremyn。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特制的网站，攻击者可能利用这些问题造成拒绝服务，或执行任意代码。(CVE-2018-12375, CVE-2018-12376, CVE-2018-12377, CVE-2018-12378)

发现如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。本地用户可利用此问题获取敏感信息。(CVE-2018-12383)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

USN-3761-1 修复了 Firefox 中的漏洞。此更新造成了多个影响拼写检查字典和搜索引擎的回归。
此更新修复了这些问题。

我们对不便之处表示抱歉。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特制的网站，攻击者可能利用这些问题造成拒绝服务，或执行任意代码。(CVE-2018-12375, CVE-2018-12376, CVE-2018-12377, CVE-2018-12378)

发现如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。本地用户可利用此问题获取敏感信息。(CVE-2018-12383)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

为 Slackware 14.2 和当前版本提供了用于修复安全问题的新 mozilla-firefox 程序包。

此更新将 Firefox 升级到版本 60.2.1 ESR。安全修复：- Mozilla：由于缓存数据造成 TransportSecurityInfo 中的崩溃 (CVE-2018-12385) - Mozilla：设置主密码 post-Firefox 58 并未删除之前保存的未加密密码 (CVE-2018-12383)

远程 macOS 主机上安装的 Mozilla Thunderbird 版本低于 60.2.1。因而会受到于 2018 年 10 月 4 日 Mozilla Thunderbird 稳定版更新发布说明中注明的多个漏洞的影响。请参阅发布说明以查看更多信息。请注意，Nessus 并未试图利用这些问题，而只依赖于应用程序自我报告的版本号。

远程 Windows 主机上安装的 Mozilla Thunderbird 版本低于 60.2.1。因而会受到多个漏洞的影响：- 关机时，若在某些情况下重新整理了重新整理驱动程序定时器，可能会发生释放后使用漏洞，这是因为定时器在使用中状态下遭到删除所致。这会导致潜在可利用的崩溃。(CVE-2018-12377) - 提供待储存负载值的 JavaScript 代码使用中的 IndexedDB 索引被删除时，可能会发生释放后使用漏洞。这会导致潜在可利用的崩溃。(CVE-2018-12378) - 使用页面上的 <meta> 元数据 http-equiv=refresh 时，同源策略违规会造成跨源 URL 项目遭窃，进而导致系统使用 performance.getEntries() 重新导向至另一个网站。这是同源策略违规，可能导致数据遭窃。(CVE-2018-18499) - Mozilla Updater 开启含有超长项目文件名的 MAR 格式文件时，可能会触发超出边界写入，进而导致可能遭到恶意利用的损毁。需在含有恶意 MAR 文件的本机系统上手动执行 Mozilla Updater 才会发生此状况。(CVE-2018-12379) - 用含有 autofs 的 automount 功能可绕过浏览器 Proxy 设定，进而可在本机文件系统上建立一个装载点。使用下列文件即可直接从此已装载文件系统加载内容：URI，绕过已设定的 proxy 设定。*注意：此问题仅会影响预设配置中的 OS X。在 Linux 系统中，必须安装 autofs 才会产生此漏洞，Windows 则不受影响。*(CVE-2017-16541) - 在用于 SSL 的 TransportSecurityInfo 中发现可能遭到恶意利用的损毁，这可能是由储存在用户配置文件目录内本地缓存中的数据所触发。只有配合攻击者可借以将数据写入本地缓存，或从本地安装恶意软件写入数据的其他漏洞，此问题才能遭到利用。若使用相同的配置文件，此问题也会针对在 Firefox 的 Nightly 和 Release 版本之间切换的用户触发无法利用的开机崩溃。(CVE-2018-12385) - 如果用户在 Firefox 58 之前保存了密码，之后再设置主密码，则仍可访问这些密码的未加密副本。这是因为将数据复制为 Firefox 58 中启动的新格式时，之前已存储的密码文件并未删除。系统只会将新的主密码添加到新文件。这可能会导致用户意料之外的已存储密码数据泄露情况。(CVE-2018-12383) - Mozilla 开发人员和社区成员 Alex Gaynor、Boris Zbarsky、Christoph Diehl、Christian Holler、Jason Kratzer、Jed Davis、Tyson Smith、Bogdan Tara、Karl Tomlinson、Mats Palmgren、Nika Layzell、Ted Campbell 及 Andrei Cristian Petcu 报告 Firefox 61 及 Firefox ESR 60.1 中存在安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-12376) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

Versions of Mozilla Firefox prior to 62.0 are unpatched for the following vulnerabilities as referenced in the mfsa2018-20 advisory:

 - Browser proxy settings can be bypassed by using the automount feature with autofs to create a mount point on the local file system. Content can be loaded from this mounted file system directly using "file: URI", bypassing configured proxy settings. (CVE-2017-16541)
 - Evidence of memory corruption exists that could be exploited to run arbitrary code. (CVE-2018-12375, CVE-2018-12376)
 - A use-after-free vulnerability can occur when refresh driver timers are refreshed in some circumstances during shutdown when the timer is deleted while still in use. This results in a potentially exploitable crash. (CVE-2018-12377)
 - A use-after-free vulnerability can occur when an IndexedDB index is deleted while still in use by JavaScript code that is providing payload values to be stored. This results in a potentially exploitable crash. (CVE-2018-12378)
 - When the Mozilla Updater opens a MAR format file which contains a very long item filename, an out-of-bounds write can be triggered, leading to a potentially exploitable crash. This requires running the Mozilla Updater manually on the local system with the malicious MAR file in order to occur. (CVE-2018-12379)
 - Manually dragging and dropping an Outlook email message into the browser will trigger a page navigation when the mail columns are incorrectly interpreted as a URL. (CVE-2018-12381)
 - The displayed addressbar URL can be spoofed on Firefox for Android using 'javascript: URI' in concert with JavaScript to insert text before the loaded domain name, scrolling the loaded domain out of view to the right. This can lead to user confusion. (CVE-2018-12382)
 - If a user saved passwords before Firefox 58 and then later set a master password, an unencrypted copy of these passwords is still accessible. This is because the older stored password file was not deleted when the data was copied to a new format starting in Firefox 58. The new master password is added only on the new file. This could allow the exposure of stored password data outside of user expectations. (CVE-2018-12383)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
118744	RHEL 7 : thunderbird (RHSA-2018:3458)	Nessus	Red Hat Local Security Checks	2018/11/6	2024/4/27	critical
118813	Oracle Linux 7 : thunderbird (ELSA-2018-3458)	Nessus	Oracle Linux Local Security Checks	2018/11/8	2020/5/29	critical
117357	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Firefox 漏洞 (USN-3761-1)	Nessus	Ubuntu Local Security Checks	2018/9/7	2023/10/21	critical
117496	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Firefox 回归 (USN-3761-2)	Nessus	Ubuntu Local Security Checks	2018/9/14	2023/10/20	critical
117654	Slackware 14.2 / 当前版本：mozilla-firefox (SSA:2018-265-01)	Nessus	Slackware Local Security Checks	2018/9/24	2018/12/7	medium
117850	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2018/10/1	2022/2/17	high
117851	Scientific Linux 安全更新：SL7.x x86_64 中的 firefox	Nessus	Scientific Linux Local Security Checks	2018/10/1	2022/2/17	high
117938	Mozilla Thunderbird < 60.2.1 Multiple Vulnerabilities (macOS)	Nessus	MacOS X Local Security Checks	2018/10/5	2019/11/1	critical
117939	Mozilla Thunderbird < 60.2.1 多个漏洞	Nessus	Windows	2018/10/5	2019/4/5	critical
700407	Mozilla Firefox < 62.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2019/2/6	2019/3/6	critical

検出

プラグインの検索

critical

critical

critical

critical

medium

high

high

critical

critical

critical