不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを含む HTML メールメッセージは Thunderbird をクラッシュさせたり、Thunderbird 実行しているユーザーとして任意のコードを実行したりする場合があります。（CVE-2009-0352、CVE-2009-0353、CVE-2009-0772、 CVE-2009-0774、CVE-2009-0775）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。
特別に細工されたコンテンツを含む HTML メールメッセージは Thunderbird ユーザーを騙して、機密情報を盗み出す可能性があります。（CVE-2009-0355、CVE-2009-0776）

注：Thunderbird では、JavaScript サポートがデフォルトで無効になっています。JavaScript が有効になっていない限り、上記の問題はいずれも悪用されることはありません。

この更新を有効にするためには、Thunderbird のすべての実行中のインスタンスを再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:0256 から：

様々なセキュリティ問題を修正する更新済みの firefox パッケージが Red Hat Enterprise Linux 4 および 5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

Mozilla Firefox はオープンソースの Web ブラウザです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2009-0352、 CVE-2009-0353、CVE-2009-0356）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトにより、 Firefox のユーザーを騙して、機密情報を提供させる可能性があります。
（CVE-2009-0354、 CVE-2009-0355）

Firefox が HTTPOnly クッキーを処理する方法で、欠陥が見つかりました。HTTPOnly クッキーを使用するターゲットサイトで任意の JavaScript を実行できる攻撃者が、この欠陥を利用して、クッキーを盗む可能性があります。
(CVE-2009-0357)

Firefox がディレクティブをキャッシュする特定の HTTP ページを処理する方法で、欠陥が見つかりました。ローカルの攻撃者が、ページの作成者がキャッシュするつもりのない機密ページのコンテンツを盗むことが可能です。
(CVE-2009-0358)

これらの欠陥に関する技術的な詳細については、Firefox 3.0.6 の Mozilla セキュリティアドバイザリを参照して下さい。Mozilla アドバイザリへのリンクは「参照」セクションにあります。

すべての Firefox ユーザーは、これらの問題を修正する Firefox バ―ジョン 3.0.6 を含む、更新済みのこれらのパッケージにアップグレードする必要があります。更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:0258 から：

複数のセキュリティ問題を修正する更新済みの Thunderbird パッケージが Red Hat Enterprise Linux 4、5 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新は重要度中のセキュリティ影響があると評価しています。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

不正な形式の HTML メールコンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツを含む HTML メールメッセージは Thunderbird をクラッシュさせたり、Thunderbird 実行しているユーザーとして任意のコードを実行したりする場合があります。（CVE-2009-0352、CVE-2009-0353、CVE-2009-0772、 CVE-2009-0774、CVE-2009-0775）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。
特別に細工されたコンテンツを含む HTML メールメッセージは Thunderbird ユーザーを騙して、機密情報を盗み出す可能性があります。（CVE-2009-0355、 CVE-2009-0776）

注：Thunderbird では、JavaScript サポートがデフォルトで無効になっています。JavaScript が有効になっていない限り、上記の問題はいずれも悪用されることはありません。

Thunderbird のすべてのユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決する必要があります。この更新を有効にするためには、Thunderbird のすべての実行中のインスタンスを再起動する必要があります。

Thunderbird メールクライアントのノーブランドバージョンである Icedove メールクライアントで、複数のリモート脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-0040 細工された PNG ファイルを通じて任意のコード実行が可能になる場合があります。これによって、(1) png_read_png 関数、(2) pCAL チャンク処理、または (3) 16 ビットガンマテーブルのセットアップにおいて初期化されていないポインターが解放されます。（MFSA 2009-10）

- CVE-2009-0352 レイアウトエンジンに関連するベクトルを通じて、任意のコードの実行が可能です。（MFSA 2009-01）

- CVE-2009-0353 JavaScript エンジンに関連するベクトルを通じて、任意のコードの実行が可能です。（MFSA 2009-01）

- CVE-2009-0652 Bjoern Hoehrmann 氏および Moxie Marlinspike 氏は、国際化ドメイン名における Unicode ボックス描画文字を通じたなりすまし攻撃の可能性を発見しました。（MFSA 2009-15）

- CVE-2009-0771 レイアウトエンジンに、メモリ破損およびアサーションエラーが発見されました。これは任意のコード実行につながる可能性があります。（MFSA 2009-07）

- CVE-2009-0772 レイアウトエンジンにより、nsCSSStyleSheet::GetOwnerNode、イベント、ガベージコレクションに関連したベクトルで、任意のコードの実行が可能になります。（MFSA 2009-07）

- CVE-2009-0773 JavaScript エンジンは、いくつかのベクトルを通じた任意のコード実行の影響を受けやすくなっています。（MFSA 2009-07）

- CVE-2009-0774 レイアウトエンジンにより、gczeal に関連したベクトルを通じて、任意のコード実行が可能になります。（MFSA 2009-07）

- CVE-2009-0776 Georgi Guninski 氏は、nslRDFService に関連した問題を通じて、xml データを取得できる可能性があることを発見しました。
 （MFSA 2009-09）

- CVE-2009-1302 ブラウザエンジンは、いくつかのベクトルを通じた潜在的なメモリ破損の影響を受けやすくなっています。（MFSA 2009-14）

- CVE-2009-1303 ブラウザエンジンは、nsSVGElement::BindToTree 関数を通じた潜在的なメモリ破損の影響を受けやすくなっています。
 （MFSA 2009-14）

- CVE-2009-1307 Gregory Fleischer 氏は、view-souce: scheme を介して Flash ファイルを開く際に、同一成元ポリシーをバイパスできることを発見しました。（MFSA 2009-17）

- CVE-2009-1832 「double frame construction」に関連するベクトルを通じた、任意のコード実行の可能性が発見されました。（MFSA 2009-24）

- CVE-2009-1392 icedove が使用するブラウザエンジンでいくつかの脆弱性が発見されました。これにより、任意のコード実行が発生する可能性があります。（MFSA 2009-24）

- CVE-2009-1836 Shuo Chen 氏、Ziqing Mao 氏、Yi-Min Wang 氏、および Ming Zhang 氏は、特定のプロキシ応答での不十分なチェックに起因する、プロキシを使用する際の潜在的な中間者攻撃を報告しました。（MFSA 2009-27）

- CVE-2009-1838 moz_bug_r_a4 は、ガベージコレクション実装におけるエラーにより、chrome 権限で任意の JavaScript が実行される可能性を発見しました。（MFSA 2009-29）

- CVE-2009-1841 moz_bug_r_a4 は、ページコンテンツからのスクリプトが昇格された権限で実行される可能性があり、これによってオブジェクトの chrome 権限で任意のコードが実行される可能性があることを報告しました。（MFSA 2009-32）

- CVE id 未定

Bernd Jendrissek 氏は、text/enhanced 部分を含むマルチパート/代替のメールメッセージを表示する際の、潜在的に悪用可能なクラッシュを発見しました。（MFSA 2009-33）

リモートホストは、GLSA-201301-01 で説明されている脆弱性の影響を受けます（Mozilla 製品：複数の脆弱性）

Mozilla Firefox、Thunderbird、SeaMonkey、NSS、GNU IceCat、および XULRunner に、複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、ユーザーを誘導し、特別に細工された Web ページやメールを表示させることができた場合、任意のコードを実行したり、サービス拒否状態を発生させたりする可能性があります。さらに、リモートの攻撃者が中間者攻撃の実行、機密情報の取得、制限および保護メカニズムのバイパス、ファイルダウンロードの強制、XML インジェクション攻撃の実行、XSS 攻撃の実行、同一生成元ポリシーのバイパス、フィッシング攻撃のための URL の偽装、縦スクロールの誘発、ロケーションバーの偽装、SSL インジケーターの偽装、ブラウザのフォントの変更、クリックジャッキング攻撃の実行を引き起こしたり、またはその他の詳細不明な影響を与えたりする可能性があります。
 ローカルの攻撃者が、昇格された権限を取得したり、機密情報を取得したり、またはダウンロードされた任意のファイルを置き換えたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意のあるコンテンツが含まれる Web ページは Firefox をクラッシュさせたり、 Firefox を実行しているユーザーとして任意のコードを実行する可能性があります。
（CVE-2009-0352、 CVE-2009-0353、CVE-2009-0356）

無効な形式のコンテンツが処理される方法にいくつかの欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトにより、 Firefox のユーザーを騙して、機密情報を提供させる可能性があります。
（CVE-2009-0354、CVE-2009-0355）

Firefox が HTTPOnly クッキーを処理する方法で、欠陥が見つかりました。HTTPOnly クッキーを使用するターゲットサイトで任意の JavaScript を実行できる攻撃者が、この欠陥を利用して、クッキーを盗む可能性があります。
（CVE-2009-0357）

Firefox がディレクティブをキャッシュする特定の HTTP ページを処理する方法で、欠陥が見つかりました。ローカルの攻撃者が、ページの作成者がキャッシュするつもりのない機密ページのコンテンツを盗むことが可能です。
（CVE-2009-0358）

更新をインストールした後、変更した内容を反映させるには Firefox を再起動する必要があります。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、 SeaMonkey がクラッシュしたり、 SeaMonkey を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2009-0352、CVE-2009-0353）

無効な形式のコンテンツを処理する方法で、欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトが SeaMonkey のユーザーを騙して、ローカルファイルをアップロードさせる可能性があります。（CVE-2009-0355）

SeaMonkey が HTTPOnly クッキーを処理する方法で、欠陥が見つかりました。HTTPOnly クッキーを使用するターゲットサイトで任意の JavaScript を実行できる攻撃者が、この欠陥を利用して、クッキーを盗む可能性があります。
（CVE-2009-0357）

この更新をインストールした後で、変更を有効にするために SeaMonkey を再起動する必要があります。

Red Hat セキュリティアドバイザリ 2009:0257 から：

セキュリティ問題を修正する更新済みの SeaMonkey パッケージが、 Red Hat Enterprise Linux 2.1、3 および 4 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新には重大なセキュリティインパクトがあるものとして評価しています。

SeaMonkey は、オープンソースの Web ブラウザ、電子メールおよびニュースグループクライアント、IRC チャットクライアント、HTML エディターです。

不正な形式の Web コンテンツの処理に様々な欠陥が見つかりました。悪意あるコンテンツを含む Web ページにより、 SeaMonkey がクラッシュしたり、 SeaMonkey を実行するユーザーとして任意のコードが実行されたりする可能性があります。
（CVE-2009-0352、 CVE-2009-0353）

無効な形式のコンテンツを処理する方法で、欠陥が見つかりました。特別に細工されたコンテンツを含む Web サイトが SeaMonkey のユーザーを騙して、ローカルファイルをアップロードさせる可能性があります。(CVE-2009-0355)

SeaMonkey が HTTPOnly クッキーを処理する方法で、欠陥が見つかりました。HTTPOnly クッキーを使用するターゲットサイトで任意の JavaScript を実行できる攻撃者が、この欠陥を利用して、クッキーを盗む可能性があります。
(CVE-2009-0357)

SeaMonkey のすべてのユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。この更新をインストールした後で、変更を有効にするために SeaMonkey を再起動する必要があります。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
60553	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の thunderbird	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67795	Oracle Linux 4/5：firefox（ELSA-2009-0256）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
67797	Oracle Linux 4：thunderbird（ELSA-2009-0258）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical
44695	Debian DSA-1830-1 : icedove - 複数の脆弱性	Nessus	Debian Local Security Checks	2010/2/24	2021/1/4	critical
63402	GLSA-201301-01：Mozilla 製品：複数の脆弱性（BEAST）	Nessus	Gentoo Local Security Checks	2013/1/8	2022/12/5	critical
60527	Scientific Linux セキュリティ更新：SL4.x、SL5.x i386/x86_64 の firefox	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
60528	Scientific Linux セキュリティ更新：SL3.x、SL4.x i386/x86_64 の seamonkey	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	critical
67796	Oracle Linux 3/4：seamonkey（ELSA-2009-0257）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical