Thunderbirdに複数のセキュリティの問題が見つかりました。これにより、任意コード実行、サービス拒否、情報漏洩、または送信者のメールアドレスのスプーフィングが発生する可能性があります。

この更新プログラムで、Thunderbirdがバージョン52.5.2にアップグレードされます。

セキュリティ修正プログラム:

  - 無効な形式の Web コンテンツの処理で、複数の欠陥が見つかりました。悪意あるコンテンツを含むWebページにより、Thunderbirdをクラッシュさせたり、Thunderbirdを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2017-7846、CVE-2017-7847、CVE-2017-7848、CVE-2017-7829）

Mozilla Foundation による報告：

CVE-2017-7845:Direct 3D 9を使用するANGLEライブラリで要素を描画および検証する際のバッファオーバーフロー

CVE-2017-7846:mailbox:// originのRSSによるJavaScript実行

CVE-2017-7847:ローカルパスの文字列がRSSフィードから漏洩する可能性があります

CVE-2017-7848:RSSフィードが新しいラインインジェクションに対して脆弱です

CVE-2017-7829:Mailsploitパート1：null文字でエンコードされたFromアドレスが、メッセージヘッダー表示で切り取られます

情報漏洩、意図しないJavaScriptの実行、送信者アドレスのなりすましなど、複数のセキュリティの問題がMozilla Thunderbirdメールクライアントで見つかりました。

Debian 7「Wheezy」では、これらの問題はバージョン1:52.5.2-1~deb7u1で修正されました。

thunderbirdパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

thunderbirdの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdをバージョン52.5.2にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意あるコンテンツを含むWebページにより、Thunderbirdをクラッシュさせたり、Thunderbirdを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2017-7846、CVE-2017-7847、CVE-2017-7848、CVE-2017-7829） Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、cure53とSabri Haddouche氏を最初の報告者として認めています。

このMozilla Thunderbirdのバージョン 52.5.2への更新では、以下の問題を修正します：

  - CVE-2017-7846：mailbox：//originのRSSによる//生成元（bsc#1074043）

  - CVE-2017-7847：RSSフィードからローカルパスの文字列が漏洩する可能性があります（bsc#1074044）

  - CVE-2017-7848：RSSフィードは新しいラインインジェクションに脆弱です（bsc#1074045）

  - CVE-2017-7829：メッセージヘッダー表示のnull文字がエンコードされた差出人アドレスから切り取られます（bsc#1074046）

null文字でエンコードされたFromアドレスがメッセージヘッダー表示で切り取られることが判明しました。攻撃者がこれを悪用して、送信者アドレスを偽装する可能性があります。(CVE-2017-7829)

特定の状況では、RSSフィードでJavaScriptを実行できることがわかりました。ユーザーが誘導され、特別に細工された RSS フィードを開くと、攻撃者がこれを悪用して他の欠陥と組み合わせ、詳細不明な問題を生じさせる可能性があります。(CVE-2017-7846)

RSSフィードがローカルパス名を漏えいさせる可能性があることがわかりました。ユーザーが誘導され、特別に細工された RSS フィードを開くと、攻撃者がこれを悪用して秘密情報を取得する可能性があります。(CVE-2017-7847)

RSSフィードが新しいラインインジェクションに対して脆弱であることがわかりました。
ユーザーが誘導され、特別に細工されたRSSフィードを開くと、攻撃者がこれを悪用して詳細不明な問題を引き起こす可能性があります。
(CVE-2017-7848)

Thunderbirdで複数のセキュリティの問題が発見されました。ユーザーが誘導され、特別に細工された Web サイトをブラウジングコンテキストで開くと、攻撃者がこれを悪用し、サービス拒否、任意のコードの実行、または詳細不明な問題を引き起こす可能性があります。(CVE-2018-5089、CVE-2018-5095、CVE-2018-5096、CVE-2018-5097、CVE-2018-5098、CVE-2018-5099、CVE-2018-5102、CVE-2018-5013、CVE-2018-5104、CVE-2018-5117)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのWindowsホストにインストールされているMozilla Thunderbirdのバージョンが52.5.2より前です。したがって、複数の脆弱性の影響を受けます。

出典：Red Hatセキュリティアドバイザリ2018:0061：thunderbirdの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mozilla Thunderbirdはスタンドアロンのメールおよびニュースグループクライアントです。この更新プログラムで、Thunderbirdをバージョン52.5.2にアップグレードします。セキュリティ修正プログラム：* 不正な形式のWebコンテンツの処理に、複数の欠陥が見つかりました。悪意あるコンテンツを含むWebページにより、Thunderbirdをクラッシュさせたり、Thunderbirdを実行しているユーザーの権限で任意のコードが実行されたりする可能性があります。（CVE-2017-7846、CVE-2017-7847、CVE-2017-7848、CVE-2017-7829） Red Hatは、これらの問題を報告してくれたMozillaプロジェクトに感謝の意を表します。アップストリームは、cure53とSabri Haddouche氏を最初の報告者として認めています。

リモートホストは、GLSA-201803-14（Mozilla Thunderbird：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がMozilla Thunderbirdで発見されています。詳細については、以下に記載されているMozilla FoundationセキュリティアドバイザリとCVE識別番号を参照してください。影響：リモートの攻撃者が、任意のコードの実行やサービス拒否状態を引き起こしたり、機密情報を取得したり、URLハイジャッキングやクロスサイトスクリプティング（XSS）を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
105497	Debian DSA-4075-1: thunderbird - セキュリティ更新	Nessus	Debian Local Security Checks	2018/1/2	2021/1/4	critical
105683	Scientific Linux セキュリティ更新: SL6.x、SL7.x i386/x86_64のthunderbird（20180107）	Nessus	Scientific Linux Local Security Checks	2018/1/9	2020/5/29	high
105450	FreeBSD: mozilla -- 複数の脆弱性（6a09c80e-6ec7-442a-bc65-d72ce69fd887）	Nessus	FreeBSD Local Security Checks	2017/12/26	2021/1/4	high
105465	Debian DLA-1223-1: thunderbirdセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2017/12/28	2021/1/11	high
105646	RHEL 6/7：thunderbird（RHSA-2018:0061）	Nessus	Red Hat Local Security Checks	2018/1/8	2020/5/29	high
105457	openSUSEセキュリティ更新プログラム：Mozilla Thunderbird（openSUSE-2017-1419）	Nessus	SuSE Local Security Checks	2017/12/26	2021/1/19	high
106482	Ubuntu 14.04LTS/16.04 LTS：Thunderbird の脆弱性 (USN-3529-1)	Nessus	Ubuntu Local Security Checks	2018/1/30	2023/10/20	critical
105507	Mozilla Thunderbird < 52.5.2 の複数の脆弱性	Nessus	Windows	2018/1/2	2018/7/17	high
105658	CentOS 6/7：Thunderbird（CESA-2018:0061）	Nessus	CentOS Local Security Checks	2018/1/9	2020/5/29	high
105671	Oracle Linux 6/7：thunderbird（ELSA-2018-0061）	Nessus	Oracle Linux Local Security Checks	2018/1/9	2020/5/29	high
108820	GLSA-201803-14：Mozilla Thunderbird：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/4/4	2020/9/28	critical

検出

プラグインの検索

critical

high

high

high

high

high

critical

high

high

high

critical