リモートの Redhat Enterprise Linux 5 / 6 ホストには、RHSA-2012:0715 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird は、スタンドアロンのメールおよびニュースグループクライアントです。

    無効な形式のコンテンツの処理で、いくつかの欠陥が見つかりました。悪意のあるコンテンツにより、Thunderbird がクラッシュすることや、Thunderbird を実行しているユーザーの権限で、任意のコードが実行される可能性があります。(CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947)

    注意: CVE-2011-3101 により影響を受けるのは、ある特定の NVIDIA ディスプレイドライバーのユーザーのみであり、ハードウェアアクセラレータを有効にしているグラフィックスカードがある場合です。

    Thunderbird での Content Security Policy(CSP) の実装で、Thunderbird のインラインイベントハンドラーがもはやブロックされないことが判明しました。悪意のあるコンテンツが、クロスサイトスクリプティング（XSS）などの欠陥から守るのに、CSP を頼りにしている場合、そのコンテンツは意図した制限をバイパスする可能性があります。
    (CVE-2012-1944)

    あるウェブサーバーが Microsoft Windows の共有または Samba の共有に保存されているコンテンツをホストしていた場合、このようなコンテンツを Thunderbird でロードすると、同じ共有にある Windows のショートカットファイル（.lnk）もロードされてしまう可能性があります。攻撃者は、この欠陥を利用して、被害者のシステム上にある、ローカルなファイルやディレクトリのコンテンツを見てしまうことがあります。この問題は、自分のシステムでマウントされている Microsoft Windows の共有または Samba の共有から、コンテンツを開いているユーザーにも影響を与えていました。(CVE-2012-1945)

    Red Hat は、これらの問題を報告してくれた Mozilla プロジェクトに感謝の意を表します。
    Upstream では、Google の Ken Russell 氏が CVE-2011-3101 の、Igor Bukanov 氏、Olli Pettay 氏、Boris Zbarsky 氏、および Jesse Ruderman 氏が CVE-2012-1937 の、Jesse Ruderman 氏、Igor Bukanov 氏、Bill McCloskey 氏、Christian Holler 氏、Andrew McCreight 氏、および Brian Bondy 氏が CVE-2012-1938 の、Christian Holler 氏が CVE-2012-1939 の、Google のセキュリティの研究者である Abhishek Arya 氏が CVE-2012-1940、CVE-2012-1941、および CVE-2012-1947 の、
    セキュリティの研究者である Arthur Gerkis 氏が CVE-2012-1946 の、セキュリティの研究者である Adam Barth 氏が CVE-2012-1944 の、そしてセキュリティの研究者である Paul Stone 氏が CVE-2012-1945 の最初の報告者として認めています。

    注意: メールメッセージに対して JavaScript がデフォルトで無効であるため、このアドバイザリのどの問題も、特別に細工された HTML メールメッセージでは悪用できません。RSS フィードのリモートコンテンツ全体を表示するときなど、Thunderbird でこれらを別の方法で悪用することが可能です。

    Thunderbird の全ユーザーは、Thunderbird version 10.0.5 ESR が含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

複数のセキュリティの問題を修正する更新済みの Thunderbird パッケージが、 Red Hat Enterprise Linux 5 と 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

無効な形式のコンテンツの処理で、いくつかの欠陥が見つかりました。
悪意あるコンテンツが、Thunderbird をクラッシュさせたり、 Thunderbird を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947）

注：CVE-2011-3101 により影響を受けるのは、ある特定の NVIDIA ディスプレイドライバーのユーザーのみであり、ハードウェアアクセラレータを有効にしているグラフィックスカードがある場合です。

Thunderbird での Content Security Policy（CSP）の実装で、 Thunderbird のインラインイベントハンドラーがもはやブロックされないことが判明しました。
悪意のあるコンテンツが、クロスサイトスクリプティング（XSS）などの欠陥から守るのに、CSP を頼りにしている場合、そのコンテンツは意図した制限をバイパスする可能性があります。（CVE-2012-1944）

ある Web サーバーが Microsoft Windows の共有または Samba の共有に保存されているコンテンツをホストしていた場合、このようなコンテンツを Thunderbird でロードすると、同じ共有にある Windows のショートカットファイル（.lnk）もロードされてしまう可能性があります。攻撃者は、この欠陥を利用して、被害者のシステム上にある、ローカルなファイルやディレクトリのコンテンツを見てしまうことがあります。この問題は、自分のシステムでマウントされている Microsoft Windows の共有または Samba の共有から、コンテンツを開いているユーザーにも影響を与えていました。（CVE-2012-1945）

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream では、Google の Ken Russell 氏が CVE-2011-3101 の、Igor Bukanov 氏、Olli Pettay 氏、Boris Zbarsky 氏、および Jesse Ruderman 氏が CVE-2012-1937 の、Jesse Ruderman 氏、Igor Bukanov 氏、Bill McCloskey 氏、Christian Holler 氏、Andrew McCreight 氏、および Brian Bondy 氏が CVE-2012-1938 の、
Christian Holler 氏が CVE-2012-1939 の、Google のセキュリティの研究者である Abhishek Arya 氏が CVE-2012-1940、CVE-2012-1941、および CVE-2012-1947 の、セキュリティの研究者である Arthur Gerkis 氏が CVE-2012-1946 の、セキュリティの研究者である Adam Barth 氏が CVE-2012-1944 の、そしてセキュリティの研究者である Paul Stone 氏が CVE-2012-1945 の最初の報告者として認めています。

注：メールメッセージに対して JavaScript がデフォルトで無効であるため、このアドバイザリのどの問題も、特別に細工された HTML メールメッセージでは悪用できません。RSS フィードのリモートコンテンツ全体を表示するときなど、Thunderbird でこれらを別の方法で悪用することが可能です。

Thunderbird の全ユーザーは、 Thunderbird version 10.0.5 ESR が含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。
この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。

複数のセキュリティの問題を修正する更新版の firefox パッケージが、 Red Hat Enterprise Linux 5 および 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Firefox はオープンソースの Web ブラウザです。XULRunner は、Mozilla Firefox 用の XUL Runtime 環境を提供しています。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページが、Firefox をクラッシュさせたり、 Firefox を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947）

注：CVE-2011-3101 により影響を受けるのは、ある特定の NVIDIA ディスプレイドライバーのユーザーのみであり、ハードウェアアクセラレータを有効にしているグラフィックスカードがある場合です。

Firefox での Content Security Policy（CSP）の実装で、 Firefox のインラインイベントハンドラーがもはやブロックされないことが判明しました。ある Web アプリケーションが、クロスサイトスクリプティング（XSS）などの欠陥から守るのに、 CSP を頼りにしている場合、リモートの攻撃者は、この欠陥を利用して、そのアプリケーションの意図した制限をバイパスすることがあります。（CVE-2012-1944）

Web サーバーが Microsoft Windows の共有または Samba の共有に保存されている HTML ファイルをホストしていた場合、このようなファイルを Firefox でロードすると、同じ共有にある Windows のショートカットファイル（.lnk）もロードされてしまう可能性があります。攻撃者は、この欠陥を利用して、被害者のシステム上にある、ローカルなファイルやディレクトリのコンテンツを見てしまうことがあります。この問題は、自分のシステムでマウントされている Microsoft Windows の共有または Samba の共有から、 HTML ファイルを開いているユーザーにも影響を与えていました。（CVE-2012-1945）

これらの欠陥の技術的な詳細については、Firefox 10.0.5 ESR 向けの Mozilla セキュリティアドバイザリを参照してください。Mozilla アドバイザリへのリンクは、このエラータの「参照」セクションにあります。

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream では、Google の Ken Russell 氏が CVE-2011-3101 の、Igor Bukanov 氏、Olli Pettay 氏、Boris Zbarsky 氏、および Jesse Ruderman 氏が CVE-2012-1937 の、Jesse Ruderman 氏、Igor Bukanov 氏、Bill McCloskey 氏、Christian Holler 氏、Andrew McCreight 氏、および Brian Bondy 氏が CVE-2012-1938 の、
Christian Holler 氏が CVE-2012-1939 の、Google のセキュリティの研究者である Abhishek Arya 氏が CVE-2012-1940、CVE-2012-1941、および CVE-2012-1947 の、セキュリティの研究者である Arthur Gerkis 氏が CVE-2012-1946 の、セキュリティの研究者である Adam Barth 氏が CVE-2012-1944 の、そしてセキュリティの研究者である Paul Stone 氏が CVE-2012-1945 の最初の報告者として認めています。

Firefox の全ユーザーは、Firefox バージョン 10.0.5 ESR が含まれるこれらの更新済みのパッケージへアップグレードし、これらの問題を修正する必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

リモート Redhat Enterprise Linux 5 / 6 ホストに、RHSA-2012:0710 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Mozilla: さまざまなメモリ安全性の問題 (rv:13.0/ rv:10.0.5) (MFSA 2012-34) (CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-3105)

  - Mozilla: Address Sanitizer を使用して見つかったバッファオーバーフローおよびメモリ解放後使用 (Use After Free) の問題 (MFSA 2012-40) (CVE-2012-1940、CVE-2012-1941、CVE-2012-1947)

  - Mozilla: Content Security Policy インラインスクリプトのバイパス (MFSA 2012-36) (CVE-2012-1944)

  - Mozilla: Windows のファイルシェアとショートカットファイルを通じた情報漏洩 (MFSA 2012-37) (CVE-2012-1945)

  - Mozilla: ドキュメントでノードを置換/挿入する際のメモリ解放後使用 (Use After Free) (MFSA 2012-38) (CVE-2012-1946)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
59392	RHEL 5 / 6 : thunderbird (RHSA-2012:0715)	Nessus	Red Hat Local Security Checks	2012/6/7	2024/11/4	medium
59412	CentOS 5 / 6：thunderbird（CESA-2012:0715）	Nessus	CentOS Local Security Checks	2012/6/8	2021/1/4	critical
59388	CentOS 5 / 6：Firefox（CESA-2012:0710）	Nessus	CentOS Local Security Checks	2012/6/7	2021/1/4	critical
59383	RHEL 5 / 6 : firefox (RHSA-2012:0710)	Nessus	Red Hat Local Security Checks	2012/6/6	2024/4/21	medium

検出

プラグインの検索

medium

critical

critical

medium