Mozilla Thunderbird < 68.1
high Nessus Plugin ID 128971
語言:
概要
遠端 macOS 或 Mac OS X 主機上安裝的電子郵件用戶端受到多個弱點影響。說明
遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 68.1 版舊。因此會受到 mfsa2019-30 公告中所提及的多個弱點影響。- 有可能刪除 IndexedDB 金鑰值，然後嘗試在轉換期間擷取該金鑰值。這會導致釋放後使用及可能遭惡意利用的當機。 (CVE-2019-11752)
- 特製多部分/替代訊息中的加密 S/MIME 部分在納入 aa HTML 回覆/轉寄時可洩漏純文字。 (CVE-2019-11739)
- 若遭到釋放時內文仍在使用中，則操控視訊元素時可能會出現釋放後使用弱點。這會導致可能遭惡意利用的當機。 (CVE-2019-11746)
- 某些 HTML 元素 (如 <code><title></code> 和 <code><textarea></code>) 可包含常值角括弧，而又不將之視為標記。有可能將常值結束標籤傳送至這些元素上的 <code>.innerHTML</code> 然後將其後的後續內容視為在標籤之外進行剖析。如果網站未像針對其他元素一樣嚴格篩選這些元素的使用者輸入這可能會導致 XSS。 (CVE-2019-11744)
- 發生同源原則違規情形，有心人士可藉此透過 SVG 篩選器和 <code><canvas></code> 元件的組合來竊取跨來源影像，這是將同源原則套用到已快取影像內容的方式有誤所致。因此所致的同源原則違規可能導致資料遭竊。
(CVE-2019-11742)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Mozilla Thunderbird 68.1 或更新版本。另請參閱
https://www.mozilla.org/en-US/security/advisories/mfsa2019-30/
Plugin 詳細資訊
嚴重性: High
ID: 128971
檔案名稱: macos_thunderbird_68_1.nasl
版本: 1.7
類型: local
代理程式: macosx
已發布: 2019/9/18
已更新: 2025/11/18
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 9.3
時間性分數: 7.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2019-11752
CVSS v3
風險因素: High
基本分數: 8.8
時間性分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:mozilla:thunderbird
必要的 KB 項目: installed_sw/Mozilla Thunderbird
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2019/9/11
弱點發布日期: 2019/9/11
參考資訊
CVE: CVE-2019-11739, CVE-2019-11740, CVE-2019-11742, CVE-2019-11743, CVE-2019-11744, CVE-2019-11746, CVE-2019-11752
MFSA: 2019-30