この更新プログラムで、Thunderbirdがバージョン52.8.0にアップグレードされます。

セキュリティ修正プログラム:

  - Mozilla: Firefox 60とFirefox ESR 52.8で修正されたメモリ安全性に関するバグ（CVE-2018-5150）

  - Mozilla: SkiaにおけるBackportの重要なセキュリティ修正（CVE-2018-5183）

  - Mozilla: SVGアニメーションやクリップパスによるメモリ解放後使用（Use After Free）（CVE-2018-5154）

  - Mozilla: SVGアニメーションやテキストパスによるメモリ解放後使用（Use After Free）（CVE-2018-5155）

  - Mozilla: Skiaの整数オーバーフローおよび領域外書き込み（CVE-2018-5159）

  - Mozilla: 選択暗号文攻撃を介したS/MIMEでの完全な平文の復元（CVE-2018-5184）

  - Mozilla: 無効な形式のヘッダーによるハングアップ（CVE-2018-5161）

  - Mozilla: 暗号化されたメールのsrc属性を介した平文漏洩（CVE-2018-5162）

  - Mozilla: ユーザーの操作なしに軽量テーマがインストールされる脆弱性（CVE-2018-5168）

  - Mozilla: 外部添付ファイルのファイル名偽装（CVE-2018-5170）

  - Mozilla: レガシー拡張機能を使用したUTF-8からUnicodeの文字列への変換中のバッファオーバーフロー（CVE-2018-5178）

  - Mozilla: HTMLフォームを介した平文の漏洩（CVE-2018-5185）

リモートホストは、GLSA-201811-13（Mozilla Thunderbird：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がMozilla Thunderbirdで発見されています。詳細については、以下に記載されているMozilla FoundationセキュリティアドバイザリとCVE識別番号を参照してください。影響：リモートの攻撃者が、任意のコードの実行やサービス拒否状態を引き起こしたり、機密情報を取得したり、クロスサイトリクエストフォージェリ（CSRF）を引き起こしたりする可能性があります。回避策：現時点では、既知の回避策はありません。

このMozillaFirefoxの68.2.0 ESRへの更新では、次の問題を修正します：

Mozilla Firefoxがバージョン68.2.0 ESRに更新されました（bsc#1154738）。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-15903：expatライブラリのヒープオーバーフローを修正しました（bsc#1149429）。

CVE-2019-11757：IndexedDBでインデックス更新を作成するときのメモリ解放後使用（Use After Free）を修正しました（bsc#1154738）。

CVE-2019-11758：360 Total Securityに起因する悪用可能なクラッシュを修正しました（bsc#1154738）。

CVE-2019-11759：HKDF出力でのスタックベースのバッファオーバーフローを修正しました（bsc#1154738）。

CVE-2019-11760：WebRTCネットワーキングでのスタックベースのバッファオーバーフローを修正しました（bsc#1154738）。

CVE-2019-11761：権限のあるJSONViewオブジェクトへの意図しないアクセスを修正しました（bsc#1154738）。

CVE-2019-11762：同一オリジンプロパティ違反を修正しました（bsc#1154738）。

CVE-2019-11763：XSSバイパスを修正しました（bsc#1154738）。

CVE-2019-11764：複数のメモリの安全性に関するバグが修正されました（bsc#1154738）。

修正された非セキュリティ問題：Firefox 60.7 ESRではユーザーインターフェイス言語が変更されました（bsc#1137990）。

誤ったFirefox GUI言語（bsc#1120374）。

ユーザーオプトインなしでクラッシュレポートが不注意に送信されていた問題を修正しました（bsc#1074235）。

Firefoxで閲覧およびスクロールするとランダムにハングアウトが発生します（bsc#1043008）。

Firefoxで、マウスが動かされるまでページの読み込みが停止します（bsc#1025108）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Versions of Mozilla Firefox ESR earlier than 52.8 are unpatched for the following vulnerabilities :

 - A use-after-free error exists that is triggered when enumerating attributes for SVG animations with clip paths. With a specially crafted SVG file, a context-dependent attacker can dereference already freed memory and potentially execute arbitrary code.
 - A use-after-free error exists in 'layout/svg/SVGTextFrame.cpp' that is triggered when adjusting layouts for SVG animations with text paths. With a specially crafted SVG file, a context-dependent attacker can dereference already freed memory and potentially execute arbitrary code.
 - An unspecified flaw exists in the PDF viewer that may allow a context-dependent attacker to bypass the same-origin policy and view restricted PDF files on a third-party website.
 - A flaw exists that allows a cross-site scripting (XSS) attack. This flaw exists exists because the PDF viewer does not properly sanitize input to PostScript calculator functions before returning it to users. This may allow a context-dependent attacker to create a specially crafted request that executes arbitrary script code in a user's browser session within the trust relationship between their browser and the server.
 - An integer overflow condition exists in 'include/private/SkTDArray.h' that is triggered as certain input is not properly validated. This may allow a context-dependent attacker to corrupt memory and potentially execute arbitrary code.
 - A flaw exists in the installation of themes. This may allow a context-dependent attacker to manipulate the baseURI property  of a theme element to bypass intended user interaction checks, allowing for the installation of unintended themes. This may be used to 'e.g'. deface a page with content from unintended themes.
 - A flaw exists that is triggered as the program sets the SEE_MASK_FLAG_NO_UI flag for Windows Defender SmartScreen when handling certain downloads. This may result in the download file prompt not displaying to the user, potentially causing files to be opened without the user's intent.
 - An assertion flaw exists in the 'FilterNodeArithmeticCombineSoftware::SetAttribute()' function in 'gfx/2d/FilterNodeSoftware.cpp' that is triggered as certain input is not properly validated. This may allow a context-dependent attacker to cause an out-of-bounds read and potentially disclose memory contents.
 - A flaw exists that is triggered when asynchronously calling methods from the CamerasChild class in 'dom/media/systemservices/CamerasChild.cpp'. This may allow a context-dependent attacker to corrupt memory and potentially execute arbitrary code.
 - An overflow condition exists that is triggered as certain input is not properly validated when performing UTF8 to Unicode string conversion. This may allow a context-dependent attacker to cause a buffer overflow, potentially allowing the execution of arbitrary code.
 - Multiple unspecified flaws exist exist related to the use of insecure versions of Skia that may allow an attacker to perform memory corruption attacks, or potentially have other impacts. No further details have been provided.

ID	名稱	產品	系列	已發布	已更新	嚴重性
110121	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のthunderbird（20180524）	Nessus	Scientific Linux Local Security Checks	2018/5/25	2024/10/1	critical
119133	GLSA-201811-13：Mozilla Thunderbird：複数の脆弱性	Nessus	Gentoo Local Security Checks	2018/11/26	2024/7/19	critical
130450	SUSE SLED12 / SLES12セキュリティ更新プログラム：MozillaFirefox（SUSE-SU-2019:2872-1）	Nessus	SuSE Local Security Checks	2019/11/1	2024/4/16	critical
700337	Mozilla Firefox ESR < 52.8 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2018/8/21	2019/11/6	high

偵測

搜尋 Plugin

critical

critical

critical

high