Red Hat セキュリティアドバイザリ 2009:0258 から：

複数のセキュリティ問題を修正する更新済みの Thunderbird パッケージが Red Hat Enterprise Linux 4、5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを含む HTML メールメッセージは Thunderbird をクラッシュさせたり、Thunderbird 実行しているユーザーとして任意のコードを実行したりする場合があります。（CVE-2009-0352、CVE-2009-0353、CVE-2009-0772、 CVE-2009-0774、CVE-2009-0775）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。
特別に細工されたコンテンツを含む HTML メールメッセージは Thunderbird ユーザーを騙して、機密情報を盗み出す可能性があります。（CVE-2009-0355、 CVE-2009-0776）

注：Thunderbird では、JavaScript サポートがデフォルトで無効になっています。JavaScript が有効になっていない限り、上記の問題はいずれも悪用されることはありません。

Thunderbird のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。この更新を有効にするためには、Thunderbird のすべての実行中のインスタンスを再起動する必要があります。

リモートホストは、GLSA-201301-01 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat、および XULRunner に、複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。さらに、リモートの攻撃者が中間者攻撃の実行、機密情報の取得、制限および保護メカニズムのバイパス、ファイルダウンロードの強制、XML インジェクション攻撃の実行、XSS 攻撃の実行、同一生成元ポリシーのバイパス、フィッシング攻撃のための URL の偽装、縦スクロールの誘発、ロケーションバーの偽装、SSL インジケーターの偽装、ブラウザのフォントの変更、クリックジャッキング攻撃の実行を引き起こしたり、またはその他の詳細不明な影響を与えたりする可能性があります。
 ローカルの攻撃者が、昇格された権限を取得したり、機密情報を取得したり、またはダウンロードされた任意のファイルを置き換えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、 SeaMonkey がクラッシュしたり、 SeaMonkey を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2009-0040、CVE-2009-0772、CVE-2009-0774、 CVE-2009-0775）

無効な形式のコンテンツを処理する方法で、欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトが、 SeaMonkey のユーザーを騙して、機密情報を提供させる可能性があります。
（CVE-2009-0776）

この更新をインストールした後で、変更を有効にするために SeaMonkey を再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:0325 から：

セキュリティ問題を修正する更新済みの SeaMonkey パッケージが、 Red Hat Enterprise Linux 2.1、3 および 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

SeaMonkey は、オープンソースの Web ブラウザ、電子メールおよびニュースグループクライアント、IRC チャットクライアント、HTML エディターです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、 SeaMonkey がクラッシュしたり、 SeaMonkey を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2009-0040、CVE-2009-0772、CVE-2009-0774、 CVE-2009-0775）

無効な形式のコンテンツを処理する方法で、欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトが、 SeaMonkey のユーザーを騙して、機密情報を提供させる可能性があります。
(CVE-2009-0776)

SeaMonkey のすべてのユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。この更新をインストールした後で、変更を有効にするために SeaMonkey を再起動する必要があります。

リモートの MiracleLinux 3 ホストに、AXSA:2009-348:01 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    XULRunner は、Gecko アプリケーション向けに XUL ランタイム環境を提供します。
    修正されたバグ：
    CVE-2009-0771 Mozilla Firefox 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 におけるレイアウトエンジンは、メモリ破損およびアサーション失敗を引き起こす特定のベクトルを介して、リモートの攻撃者がサービス拒否 (クラッシュ) を引き起こすか、または任意のコードを実行する可能性があります。
    CVE-2009-0772 Mozilla Firefox 2 および 3 の 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 におけるレイアウトエンジンは、メモリ破損を引き起こす nsCSSStyleSheet::GetOwnerNode、イベント、およびガベージコレクションに関連するベクトルを介して、リモートの攻撃者がサービス拒否 (クラッシュ) を引き起こすか、または任意のコードを実行する可能性があります。
    CVE-2009-0773 Mozilla Firefox 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 における JavaScript エンジンは、以下のベクトルを介して、リモートの攻撃者がサービス拒否 (クラッシュ) を引き起こすか、または任意のコードを実行する可能性があります。(1) 未設定の要素を含む配列の splice が、jsarray.cpp で誤った引数を ResizeSlots 関数に渡すことにより、メモリ破損を引き起こす。(2) js_DecompileValueGenerator、jsopcode.cpp、defineSetter、および watch に関連するベクトルが、アサーション失敗またはセグメンテーションフォールトを引き起こす。(3) gczeal、defineSetter、および watch に関連するベクトルが、ハングを引き起こす。
    CVE-2009-0774 Mozilla Firefox 2 および 3 の 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 におけるレイアウトエンジンは、gczeal に関連するベクトルを介して、リモートの攻撃者がサービス拒否 (クラッシュ) を引き起こすか、または任意のコードを実行する可能性があります。これは CVE-2009-0773 とは異なる脆弱性です。
    CVE-2009-0775 Mozilla Firefox 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 より前におけるダブルフリーの脆弱性は、ガベージコレクション中に適切に処理されない、親子としてリンクされたクローン化された XUL DOM 要素を介して、リモートの攻撃者が任意のコードを実行する可能性があります。
    CVE-2009-0776 Mozilla Firefox 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 より前における nsIRDFService は、クロスドメインリダイレクトを介して、リモートの攻撃者が同一生成元ポリシーをバイパスし、別のドメインから XML データを読み取る可能性があります。
    CVE-2009-0777 Mozilla Firefox 3.0.7 より前、Thunderbird 2.0.0.21 より前、ならびに SeaMonkey 1.1.15 より前は、ロケーションバーに表示される不可視文字をデコードするため、誤ったアドレスが表示され、リモートの攻撃者が URL を偽装してフィッシング攻撃を行うことが容易になります。
    CVE-2009-1044 Windows 7 上の Mozilla Firefox 3.0.7 における不特定の脆弱性は、CanSecWest 2009 での PWN2OWN コンテスト中に Nils 氏によって実証されたように、リンクをクリックすることで引き起こされる未知のベクトルを介して、リモートの攻撃者が任意のコードを実行する可能性があります。
    CVE-2009-1169 Mozilla Firefox 3.0.8 より前および SeaMonkey 1.1.16 より前における txMozillaXSLTProcessor::TransformToDoc 関数は、細工された XSLT 変換を持つ XML ファイルを介して、リモートの攻撃者がサービス拒否 (クラッシュ) を引き起こすか、または任意のコードを実行する可能性があります。
    CVE-2009-1302 Mozilla Firefox 3.0.9 より前の 3.x、Thunderbird 2.0.0.22 より前、ならびに SeaMonkey 1.1.16 より前におけるブラウザエンジンは、以下のベクトルに関連するベクトルを介して、リモートの攻撃者がサービス拒否 (アプリケーションのクラッシュ) を引き起こすか、またはメモリ破損を引き起こす可能性があります。(1) nsAsyncInstantiateEvent::Run、(2) nsStyleContext::Destroy、(3) nsComputedDOMStyle::GetWidth、(4) XSLT スタイルシートコンパイラの xslt_attributeset_ImportSameName.html テストケース、(5) nsXULDocument::SynchronizeBroadcastListener、(6) IsBindingAncestor、(7) PL_DHashTableOperate および nsEditor::EndUpdateViewBatch、(8) gfxSkipCharsIterator::SetOffsets、およびその他のベクトル。
    CVE-2009-1303 Mozilla Firefox 3.0.9 より前、Thunderbird 2.0.0.22 より前、ならびに SeaMonkey 1.1.16 より前におけるブラウザエンジンは、nsSVGElement::BindToTree に関連するベクトルを介して、リモートの攻撃者がサービス拒否 (アプリケーションのクラッシュ) を引き起こすか、またはメモリ破損を引き起こす可能性があります。
    CVE-2009-1304 Mozilla Firefox 3.0.9 より前の 3.x、Thunderbird 2.0.0.22 より前、ならびに SeaMonkey 1.1.16より前における JavaScript エンジンは、(1) Math および Date の定義に関連する js_FindPropertyHelper、および (2) js_CheckRedeclaration に関連するベクトルを介して、リモートの攻撃者がサービス拒否 (アプリケーションのクラッシュ) を引き起こすか、またはメモリ破損を引き起こす可能性があります。
    CVE-2009-1305 Mozilla Firefox 3.0.9 より前、Thunderbird 2.0.0.22 より前、ならびに SeaMonkey 1.1.16 より前における JavaScript エンジンは、JSOP_DEFVAR および JSPROP_PERMANENT 属性を欠くプロパティに関連するベクトルを介して、リモートの攻撃者がサービス拒否 (アプリケーションのクラッシュ) を引き起こすか、またはメモリ破損を引き起こす可能性があります。
    CVE-2009-1306 Mozilla Firefox 3.0.9 より前、Thunderbird、および SeaMonkey における jar: URI 実装は、内部 URI の Content-Disposition ヘッダーに従わないため、リモートの攻撃者が、Content-Disposition を持つアップロードされた .jar ファイルを介して、クロスサイトスクリプティング (XSS) 攻撃や、その他の攻撃を行う可能性があります。
    添付ファイルの指定。
    CVE-2009-1307 Mozilla Firefox 3.0.9 より前、Thunderbird、および SeaMonkey における view-source: URI 実装は、同一生成元ポリシーを適切に実装していないため、リモートの攻撃者が、(1) Flash ファイルを介して crossdomain.xml の制限をバイパスし、任意のウェブサイトに接続する、(2) Flash ファイルを介して Local Shared Objects を読み取り、作成、または修正する、あるいは (3) jar: URI に関連するベクトルを介して不特定の制限をバイパスし、コンテンツを表示する可能性があります。
    CVE-2009-1308 Mozilla Firefox 3.0.9 より前、Thunderbird、および SeaMonkey におけるクロスサイトスクリプティング (XSS) の脆弱性は、XBL JavaScript バインディングおよびリモートスタイルシートに関連するベクトルを介して、リモートの攻撃者が任意のウェブスクリプトまたは HTML を挿入する可能性があります。これは、2009 年 3 月の eBay でリストされてるように出回っているエクスプロイトです。
    CVE-2009-1309 Mozilla Firefox 3.0.9 より前、Thunderbird、および SeaMonkey は、(1) ドキュメントのプリンシパルの不一致を伴う XMLHttpRequest、および (2) 不適切な proto スコープを伴う XPCNativeWrapper.toString に対して同一生成元ポリシーを適切に実装していないため、リモートの攻撃者が、細工されたドキュメントを介して、クロスサイトスクリプティング (XSS) 攻撃や、その他の攻撃を行う可能性があります。
    CVE-2009-1310 Mozilla Firefox 3.0.9 より前における MozSearch プラグイン実装のクロスサイトスクリプティング (XSS) の脆弱性は、SearchForm 要素内の javascript: URI を介して、ユーザの協力を得たリモートの攻撃者が任意のウェブスクリプトまたは HTML を挿入する可能性があります。
    CVE-2009-1311 Mozilla Firefox 3.0.9 より前および SeaMonkey 1.1.17 より前における、埋め込みフレームを持つウェブページを介してユーザの協力を得たリモートの攻撃者が機密情報を取得する可能性のあるこの脆弱性は、内部フレームの SAVEMODE_FILEONLY 保存中に、外部ページからの POST データが内部フレームの URL に送信されることによって引き起こされます。
    CVE-2009-1312 Mozilla Firefox 3.0.9 より前および SeaMonkey における、HTTP レスポンス内の Refresh ヘッダーにおける javascript: URI のブロックの失敗は、(1) Refresh ヘッダーの挿入、または (2) Refresh ヘッダーのコンテンツの指定に関連するベクトルを介して、リモートの攻撃者がクロスサイトスクリプティング (XSS) 攻撃を行う可能性があります。注意: Mozilla 1.7.x およびそれ以前も影響を受けることが後に報告されました。
    CVE-2009-1313 Mozilla Firefox 3.0.9 における layout/generic/nsTextFrameThebes.cpp の nsTextFrame::ClearTextRun 関数は、不特定のベクトルを介して、リモートの攻撃者がサービス拒否 (メモリ破損) を引き起こし、任意のコードを実行する可能性があります。注意: この脆弱性が存在するのは、CVE-2009-1302 の修正が正しくないためであると報告されています。

Tenable は、前述の記述ブロックを MiracleLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2009-0040、CVE-2009-0771、CVE-2009-0772、CVE-2009-0773、CVE-2009-0774、CVE-2009-0775）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトにより、 Firefox のユーザーを騙して、機密情報を提供させる可能性があります。
（CVE-2009-0776、CVE-2009-0777）

更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを含む HTML メールメッセージは Thunderbird をクラッシュさせたり、Thunderbird 実行しているユーザーとして任意のコードを実行したりする場合があります。（CVE-2009-0352、CVE-2009-0353、CVE-2009-0772、 CVE-2009-0774、CVE-2009-0775）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。
特別に細工されたコンテンツを含む HTML メールメッセージは Thunderbird ユーザーを騙して、機密情報を盗み出す可能性があります。（CVE-2009-0355、CVE-2009-0776）

注：Thunderbird では、JavaScript サポートがデフォルトで無効になっています。JavaScript が有効になっていない限り、上記の問題はいずれも悪用されることはありません。

この更新を有効にするためには、Thunderbird のすべての実行中のインスタンスを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:0315 から：

様々なセキュリティ問題を修正する更新済みの firefox パッケージが Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Mozilla Firefox はオープンソースの Web ブラウザです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2009-0040、 CVE-2009-0771、CVE-2009-0772、CVE-2009-0773、 CVE-2009-0774、CVE-2009-0775）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトにより、 Firefox のユーザーを騙して、機密情報を提供させる可能性があります。
（CVE-2009-0776、 CVE-2009-0777）

これらの欠陥に関する技術的な詳細については、Firefox 3.0.7 の Mozilla セキュリティアドバイザリを参照して下さい。Mozilla アドバイザリへのリンクは、このエラータの参照セクションにあります。

すべての Firefox ユーザーは、Firefox バ―ジョン 3.0.7 を含む、更新済みのこれらのパッケージにアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
67797	Oracle Linux 4：thunderbird（ELSA-2009-0258）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
63402	GLSA-201301-01：Mozilla 製品：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2013/1/8	2025/10/6	critical
60540	Scientific Linux セキュリティ更新：SL3.x、SL4.x i386/x86_64 の seamonkey	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67811	Oracle Linux 3/4：seamonkey（ELSA-2009-0325）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
284144	MiracleLinux 3 : xulrunner-1.9.0.10-1.1AXS3 (AXSA:2009-348:01)	Nessus	Miracle Linux Local Security Checks	2026/1/14	2026/2/12	medium
60538	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の firefox	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
60553	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の thunderbird	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67810	Oracle Linux 4/5：firefox（ELSA-2009-0315）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	critical

検出

プラグインの検索

critical

critical

critical

critical

medium

critical

critical

critical