不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを含む HTML メールメッセージは Thunderbird をクラッシュさせたり、Thunderbird 実行しているユーザーとして任意のコードを実行したりする場合があります。（CVE-2008-0016、 CVE-2008-4058、CVE-2008-4059、CVE-2008-4060、 CVE-2008-4061、CVE-2008-4062）

無効な形式の HTML メールコンテンツが表示される方法で、いくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む HTML メールメッセージは Thunderbird ユーザーを騙して、機密情報を盗み出す可能性があります。（CVE-2008-3835、 CVE-2008-4067、CVE-2008-4068）

Thunderbird に、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。（CVE-2008-4065、CVE-2008-4066）

注：Thunderbird では、JavaScript のサポートはデフォルトで無効です。JavaScript が有効でなければ、上記の問題は悪用できません。

キャンセルされたニュースグループメッセージの処理で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。ユーザーが特別に細工されたニュースグループメッセージをキャンセルした場合、これにより、Thunderbird がクラッシュしたり、 Thunderbird を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2008-4070）

注 2：SL4 では、この更新は、URL リンクがクリックされた際に、firefox が起動しないバグを修正しています。現在は、URL リンクをクリックすると、firefox が起動するようになりました。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2008-4058、 CVE-2008-4060、CVE-2008-4061、CVE-2008-4062、 CVE-2008-4063、CVE-2008-4064）

無効な形式の Web コンテンツが表示される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web ページが Firefox ユーザーから機密情報を盗み出そうとする場合があります。（CVE-2008-4067、CVE-2008-4068）

Firefox がマウスクリックイベントを処理する方法に欠陥が見つかりました。特別に細工された JavaScript コードが含まれる Web ページにより、マウスボタンが押されている間にコンテンツウィンドウを移動させる可能性があります。これにより、ポインターの下のアイテムをドラッグすることが可能です。これは、ユーザーが安全でないドラッグアンドドロップアクションを実行してしまう原因となっています。（CVE-2008-3837）

Firefox で、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。（CVE-2008-4065）

これらの欠陥に関する技術的な詳細については、Firefox 3.0.2 の Mozilla セキュリティアドバイザリを参照して下さい。Mozilla アドバイザリへのリンクは「参照」セクションにあります。

Red Hat セキュリティアドバイザリ 2008:0879 から：

様々なセキュリティ問題を修正する更新済みの firefox パッケージが Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Mozilla Firefox はオープンソースの Web ブラウザです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2008-4058、 CVE-2008-4060、CVE-2008-4061、CVE-2008-4062、 CVE-2008-4063、CVE-2008-4064）

無効な形式の Web コンテンツが表示される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web ページが Firefox ユーザーから機密情報を盗み出そうとする場合があります。（CVE-2008-4067、 CVE-2008-4068）

Firefox がマウスクリックイベントを処理する方法に欠陥が見つかりました。特別に細工された JavaScript コードが含まれる Web ページにより、マウスボタンが押されている間にコンテンツウィンドウを移動させる可能性があります。これにより、ポインターの下のアイテムをドラッグすることが可能です。これは、ユーザーが安全でないドラッグアンドドロップアクションを実行してしまう原因となっています。(CVE-2008-3837)

Firefox で、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。(CVE-2008-4065)

これらの欠陥に関する技術的な詳細については、Firefox 3.0.2 の Mozilla セキュリティアドバイザリを参照して下さい。Mozilla アドバイザリへのリンクは「参照」セクションにあります。

すべての Firefox ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を修正するバックポートされたパッチが含まれます。

Red Hat セキュリティアドバイザリ 2008:0908 から：

いくつかのセキュリティ問題を修正する更新済みの thunderbird パッケージが Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを含む HTML メールメッセージは Thunderbird をクラッシュさせたり、Thunderbird 実行しているユーザーとして任意のコードを実行したりする場合があります。（CVE-2008-0016、 CVE-2008-4058、CVE-2008-4059、CVE-2008-4060、 CVE-2008-4061、CVE-2008-4062）

無効な形式の HTML メールコンテンツが表示される方法で、いくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む HTML メールメッセージは Thunderbird ユーザーを騙して、機密情報を盗み出す可能性があります。（CVE-2008-3835、 CVE-2008-4067、CVE-2008-4068）

Thunderbird に、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。（CVE-2008-4065、 CVE-2008-4066）

注：Thunderbird では、JavaScript のサポートはデフォルトで無効です。JavaScript が有効でなければ、上記の問題は悪用できません。

キャンセルされたニュースグループメッセージの処理で、ヒープベースのバッファオーバーフローの欠陥が見つかりました。ユーザーが特別に細工されたニュースグループメッセージをキャンセルした場合、これにより、Thunderbird がクラッシュしたり、 Thunderbird を実行するユーザーとして任意のコードが実行されたりする可能性があります。
(CVE-2008-4070)

Thunderbird のすべてのユーザーは、これらの問題を解決する更新済みパッケージへアップグレードする必要があります。

Red Hat セキュリティアドバイザリ 2008:0882 から：

セキュリティ問題を修正する更新済みの SeaMonkey パッケージが、 Red Hat Enterprise Linux 2.1、Red Hat Enterprise Linux 3、および Red Hat Enterprise Linux 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

SeaMonkey は、オープンソースの Web ブラウザ、高度なメールおよびニュースグループクライアント、IRC チャットクライアント、および HTML エディターです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、 SeaMonkey がクラッシュしたり、 SeaMonkey を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2008-0016、 CVE-2008-4058、CVE-2008-4059、CVE-2008-4060、 CVE-2008-4061、CVE-2008-4062）

無効な形式の Web コンテンツが表示される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web ページにより、 SeaMonkey のユーザーを騙して、機密情報を提供させることが可能です。（CVE-2008-3835、CVE-2008-4067、CVE-2008-4068、 CVE-2008-4069）

SeaMonkey がマウスクリックイベントを処理する方法で、欠陥が見つかりました。特別に細工された JavaScript コードが含まれる Web ページにより、マウスボタンが押されている間にコンテンツウィンドウを移動させる可能性があります。これにより、ポインターの下のアイテムをドラッグすることが可能です。これは、ユーザーが安全でないドラッグアンドドロップアクションを実行してしまう原因となっています。(CVE-2008-3837)

SeaMonkey に、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。（CVE-2008-4065、 CVE-2008-4066）

SeaMonkey の全ユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。

様々なセキュリティ問題を修正する更新済みの firefox パッケージが Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Mozilla Firefox はオープンソースの Web ブラウザです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2008-4058、 CVE-2008-4060、CVE-2008-4061、CVE-2008-4062、 CVE-2008-4063、CVE-2008-4064）

無効な形式の Web コンテンツが表示される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web ページが Firefox ユーザーから機密情報を盗み出そうとする場合があります。（CVE-2008-4067、CVE-2008-4068）

Firefox がマウスクリックイベントを処理する方法に欠陥が見つかりました。特別に細工された JavaScript コードが含まれる Web ページにより、マウスボタンが押されている間にコンテンツウィンドウを移動させる可能性があります。これにより、ポインターの下のアイテムをドラッグすることが可能です。これは、ユーザーが安全でないドラッグアンドドロップアクションを実行してしまう原因となっています。（CVE-2008-3837）

Firefox で、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。（CVE-2008-4065）

これらの欠陥に関する技術的な詳細については、Firefox 3.0.2 の Mozilla セキュリティアドバイザリを参照して下さい。Mozilla アドバイザリへのリンクは「参照」セクションにあります。

すべての Firefox ユーザーは、この更新パッケージにアップグレードする必要があります。ここには、この問題を修正するバックポートされたパッチが含まれます。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、 SeaMonkey がクラッシュしたり、 SeaMonkey を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2008-0016、 CVE-2008-4058、CVE-2008-4059、CVE-2008-4060、 CVE-2008-4061、CVE-2008-4062）

無効な形式の Web コンテンツが表示される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web ページにより、 SeaMonkey のユーザーを騙して、機密情報を提供させることが可能です。（CVE-2008-3835、CVE-2008-4067、CVE-2008-4068、 CVE-2008-4069）

SeaMonkey がマウスクリックイベントを処理する方法で、欠陥が見つかりました。特別に細工された JavaScript コードが含まれる Web ページにより、マウスボタンが押されている間にコンテンツウィンドウを移動させる可能性があります。これにより、ポインターの下のアイテムをドラッグすることが可能です。これは、ユーザーが安全でないドラッグアンドドロップアクションを実行してしまう原因となっています。（CVE-2008-3837）

SeaMonkey に、特定の文字が JavaScript コードからストリップされる原因になる欠陥が見つかりました。この欠陥により、悪意のある JavaScript がスクリプトフィルターをバイパスまたは回避することが可能です。（CVE-2008-4065、CVE-2008-4066）

USN-645-1 によって、Ubuntu 7.04、7.10、8.04 LTS における Firefox および xulrunner の脆弱性が修正されました。この更新は、Ubuntu 6.06 LTS に対応する更新を提供します。

Justin Schuh 氏、Tom Cross 氏、Peter Williams 氏は Firefox の URL 解析ルーチンにおけるエラーを発見しました。ユーザーが騙されて、特別に細工されたハイパーリンクを開いた場合、攻撃者は、スタックバッファをオーバーフローさせたり、任意のコードを実行したりする可能性があります。(CVE-2008-0016)

Firefox の同一生成元チェックはバイパスできることが判明しました。ユーザーが騙されて、悪意のある Web サイトを開いた場合、攻撃者は他の Web サイトのコンテキストで JavaScript を実行する可能性があります。
(CVE-2008-3835)

JavaScript エンジンで、いくつかの問題が発見されました。
これにより、攻撃者は chrome の権限でページコンテンツからのスクリプトを実行する可能性があります。(CVE-2008-3836)

Paul Nickerson 氏は Firefox がマウスクリックイベントを適切に処理していなかったことを発見しました。ユーザーが騙されて、悪意のある Web ページを開いた場合、攻撃者はコンテンツウィンドウを移動し、ユーザーに意図しないドラッグアンドドロップを実行させる可能性があります。(CVE-2008-3837)

ブラウザエンジンで、いくつかの問題が発見されました。これにより、攻撃者が chrome の権限でコードを実行する可能性があります。（CVE-2008-4058、 CVE-2008-4059、CVE-2008-4060）

Drew Yao 氏、David Maciejak 氏、そしてその他の Mozilla 開発者は Firefox のブラウザエンジンにいくつかの問題を見つけました。ユーザーが騙されて、悪意のある Web ページを開いた場合、攻撃者はサービス拒否を引き起こしたり、プログラムを起動しているユーザーの権限を使用して任意のコードを実行したりする可能性があります。（CVE-2008-4061、CVE-2008-4062、CVE-2008-4063、 CVE-2008-4064）

Dave Reed 氏は、特定の BOM 文字を処理する場合の JavaScript の解析コードの欠陥を発見しました。攻撃者はこれを悪用し、スクリプトフィルターをバイパスしてクロスサイトスクリプティング攻撃を実行する可能性があります。(CVE-2008-4065)

Gareth Heyes 氏は、Firefox の HTML パーサーに欠陥を発見しました。ユーザーが騙されて、悪意のある Web ページを開いた場合、攻撃者はスクリプトフィルターをバイパスし、クロスサイトスクリプティング攻撃を実行する可能性があります。(CVE-2008-4066)

Boris Zbarsky 氏および Georgi Guninski 氏はそれぞれ、resource: protocol の欠陥を発見しました。攻撃者はこれを悪用し、ディレクトリトラバーサル、システムに関する情報の読み取り、ユーザーに対するファイル内の情報の保存要求を実行する可能性があります。（CVE-2008-4067、 CVE-2008-4068）

Billy Hoffman 氏は、XBM デコーダー内の問題を発見しました。ユーザーが騙されて、悪意のある Web ページあるいは XBM ファイルを開いた場合、攻撃者はアプリケーションクラッシュを介してサービス拒否を引き起こす可能性があります。（CVE-2008-4069）。

リモートホストは、GLSA-201301-01 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat、および XULRunner に、複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。さらに、リモートの攻撃者が中間者攻撃の実行、機密情報の取得、制限および保護メカニズムのバイパス、ファイルダウンロードの強制、XML インジェクション攻撃の実行、XSS 攻撃の実行、同一生成元ポリシーのバイパス、フィッシング攻撃のための URL の偽装、縦スクロールの誘発、ロケーションバーの偽装、SSL インジケーターの偽装、ブラウザのフォントの変更、クリックジャッキング攻撃の実行を引き起こしたり、またはその他の詳細不明な影響を与えたりする可能性があります。
 ローカルの攻撃者が、昇格された権限を取得したり、機密情報を取得したり、またはダウンロードされた任意のファイルを置き換えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
60478	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の thunderbird	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
60475	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の firefox	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67744	Oracle Linux 5：firefox（ELSA-2008-0879）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	medium
67754	Oracle Linux 4：thunderbird（ELSA-2008-0908）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
67745	Oracle Linux 3/4：seamonkey（ELSA-2008-0882）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
43709	CentOS 4 / 5：Firefox（CESA-2008:0879）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	critical
60476	Scientific Linux セキュリティ更新：SL3.x、SL4.x i386/x86_64 の SeaMonkey	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
65110	Ubuntu 6.06 LTS：firefox 脆弱性（USN-645-2）	Nessus	Ubuntu Local Security Checks	2013/3/9	2021/1/19	critical
63402	GLSA-201301-01：Mozilla 製品：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2013/1/8	2025/10/6	critical

検出

プラグインの検索

critical

critical

medium

critical

critical

critical

critical

critical

critical