遠端主機上安裝的 mozilla-thunderbird 版本比 102.0/91.11.0 舊。因此，其會受到 SSA:2022-181-01 公告中提及的一個弱點影響。

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Firefox < 102、Firefox ESR < 91.11、Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-34484)

  - 如果攻擊者成功損毀物件原型，則他們可在 JavaScript 物件上設定不需要的屬性，從而在取得特殊權限後發動程式碼執行攻擊。此弱點會影響 Firefox < 102、Firefox ESR < 91.11、Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-2200)

  - OpenPGP 數位簽章包含有關簽章建立日期的資訊。顯示含有數位簽章的電子郵件時，會顯示該電子郵件的日期。如果日期不同，則 Thunderbird 不會將電子郵件報告為具有無效的簽章。如果攻擊者執行重播攻擊 (稍後重新傳送含有舊內容的舊電子郵件)，可導致受害者相信電子郵件中的陳述式是最新的。Thunderbird 的修正版本將要求籤章日期與電子郵件顯示的日期需大致相符。此弱點會影響 Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-2226)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而繞過頁面的內容安全性原則。此弱點會影響 Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11 和 Firefox < 101。(CVE-2022-31744)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以執行指令碼。此弱點會影響 Firefox < 102、Firefox ESR < 91.11、Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-34468)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的一個套件受到 RHSA-2022: 5473 公告中提及的一個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Scientific Linux 7 主機上安裝的套件受到 SLSA-2022: 5480-1 公告中提及的多個弱點影響。

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 8 主機上安裝的一個套件受到 RHSA-2022: 5478 公告中提及的多個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的一個套件受到 RHSA-2022: 5482 公告中提及的多個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202208-14 中所述的弱點影響 (Mozilla Thunderbird：多個弱點)

  - 如需詳細資料，請檢閱提及的 CVE 識別碼。(CVE-2021-29967、CVE-2021-29969、CVE-2021-29970、CVE-2021-29976、CVE-2021-29980、CVE-2021-29984、CVE-2021-29985、CVE-2021-29986、CVE-2021-29988、CVE-2021-29989、CVE-2021-30547、CVE-2021-38492、CVE-2021-38493、CVE-2021-38495、CVE-2021-38503、CVE-2021-38504、CVE-2021-38506、CVE-2021-38507、CVE-2021-38508、CVE-2021-38509、CVE-2021-40529、CVE-2021-4129、CVE-2021-4140、CVE-2021-43528、CVE-2021-43529、CVE-2021-43536、CVE-2021-43537、CVE-2021-43538、CVE-2021-43539、CVE-2021-43541、CVE-2021-43542、CVE-2021-43543、CVE-2021-43545、CVE-2021-43546、CVE-2022-0566、CVE-2022-1196、CVE-2022-1197、CVE-2022-1520、CVE-2022-1529、CVE-2022-1802、CVE-2022-1834、CVE-2022-2200、CVE-2022-2226、CVE-2022-22737、CVE-2022-22738、CVE-2022-22739、CVE-2022-22740、CVE-2022-22741、CVE-2022-22742、CVE-2022-22743、CVE-2022-22745、CVE-2022-22747、CVE-2022-22748、CVE-2022-22751、CVE-2022-22754、CVE-2022-22756、CVE-2022-22759、CVE-2022-22760、CVE-2022-22761、CVE-2022-22763、CVE-2022-22764、CVE-2022-24713、CVE-2022-26381、CVE-2022-26383、CVE-2022-26384、CVE-2022-26386、CVE-2022-26387、CVE-2022-26485、CVE-2022-26486、CVE-2022-28281、CVE-2022-28282、CVE-2022-28285、CVE-2022-28286、CVE-2022-28289、CVE-2022-29909、CVE-2022-29911、CVE-2022-29912、CVE-2022-29913、CVE-2022-29914、CVE-2022-29916、CVE-2022-29917、CVE-2022-31736、CVE-2022-31737、CVE-2022-31738、CVE-2022-31740、CVE-2022-31741、CVE-2022-31742、CVE-2022-31747、CVE-2022-34468、CVE-2022-34470、CVE-2022-34472、CVE-2022-34478、CVE-2022-34479、CVE-2022-34481、CVE-2022-34484、CVE-2022-36318、CVE-2022-36319)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的一個套件受到 RHSA-2022: 5470 公告中提及的多個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的一個套件受到 RHSA-2022: 5475 公告中提及的多個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機上有一個套件受到 ELSA-2022-5482 公告中提及的多個弱點影響。

  - 如果物件原型遭到攻擊者損毀，他們可在 JavaScript 物件上設定不需要的屬性，導致有權限的程式碼執行。(CVE-2022-2200)

  - 如果已設定 PAC URL 且無法連線至託管 PAC 的伺服器，則 OCSP 要求會遭到封鎖，進而導致顯示不正確的錯誤頁面。(CVE-2022-34472)

  - 可建立快顯視窗的惡意網站可調整快顯視窗的大小，使自己的內容重疊在位址列上，進而導致使用者可能產生混淆或偽造攻擊。此錯誤只會影響 macOS 和 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34479)

  - 在 <code>nsTArrayImpl: : ReplaceElementsAt()</code> 函式中，當要取代的元素數量對於容器而言太大時，可能會發生整數溢位。(CVE-2022-34481)

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-34484)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而藉此繞過頁面的內容安全性原則。(CVE-2022-31744)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以這麼做。(CVE-2022-34468)

  - XML 文件之間的導覽可能會導致釋放後使用和可能遭惡意利用的當機。
    (CVE-2022-34470)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Thunderbird 版本比 91.11 舊。因此，該應用程式受到 mfsa2022-26 公告中提及的多個弱點影響。

  - 可建立快顯視窗的惡意網站可調整快顯視窗的大小，使自己的內容重疊在位址列上，進而導致使用者可能產生混淆或偽造攻擊。此錯誤只會影響 macOS 和 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34479)

  - XML 文件之間的導覽可能會導致釋放後使用和可能遭惡意利用的當機。
    (CVE-2022-34470)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以這麼做。(CVE-2022-34468)

  - OpenPGP 數位簽章包含有關簽章建立日期的資訊。顯示含有數位簽章的電子郵件時，會顯示該電子郵件的日期。如果日期不同，則 Thunderbird 不會將電子郵件報告為具有無效的簽章。如果攻擊者執行重播攻擊 (稍後重新傳送含有舊內容的舊電子郵件)，可導致受害者相信電子郵件中的陳述式是最新的。Thunderbird 的修正版本將要求籤章日期與電子郵件顯示的日期需大致相符。(CVE-2022-2226)

  - 在 <code>nsTArrayImpl: : ReplaceElementsAt()</code> 函式中，當要取代的元素數量對於容器而言太大時，可能會發生整數溢位。(CVE-2022-34481)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而藉此繞過頁面的內容安全性原則。(CVE-2022-31744)

  - 如果已設定 PAC URL 且無法連線至託管 PAC 的伺服器，則 OCSP 要求會遭到封鎖，進而導致顯示不正確的錯誤頁面。(CVE-2022-34472)

  - <code>ms-msdt</code>、<code>search</code> 和 <code>search-ms</code> 通訊協定會在使用者接受提示後繞過瀏覽器，將內容傳送至 Microsoft 應用程式。這些應用程式有遭到猖獗利用的已知弱點 (不過我們知道沒有任何弱點會透過 Thunderbird 遭到惡意利用)，因此在此版本中，Thunderbird 已封鎖這些通訊協定提示使用者開啟。此錯誤只會影響 Windows 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34478)

  - 如果物件原型遭到攻擊者損毀，他們可在 JavaScript 物件上設定不需要的屬性，導致有權限的程式碼執行。(CVE-2022-2200)

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Oracle Linux 7 主機上有一個套件受到 ELSA-2022-5480 公告中提及的多個弱點影響。

  - 如果物件原型遭到攻擊者損毀，他們可在 JavaScript 物件上設定不需要的屬性，導致有權限的程式碼執行。(CVE-2022-2200)

  - 如果已設定 PAC URL 且無法連線至託管 PAC 的伺服器，則 OCSP 要求會遭到封鎖，進而導致顯示不正確的錯誤頁面。(CVE-2022-34472)

  - 可建立快顯視窗的惡意網站可調整快顯視窗的大小，使自己的內容重疊在位址列上，進而導致使用者可能產生混淆或偽造攻擊。此錯誤只會影響 macOS 和 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34479)

  - 在 <code>nsTArrayImpl: : ReplaceElementsAt()</code> 函式中，當要取代的元素數量對於容器而言太大時，可能會發生整數溢位。(CVE-2022-34481)

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-34484)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而藉此繞過頁面的內容安全性原則。(CVE-2022-31744)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以這麼做。(CVE-2022-34468)

  - XML 文件之間的導覽可能會導致釋放後使用和可能遭惡意利用的當機。
    (CVE-2022-34470)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 7 主機上安裝的一個套件受到 CESA-2022: 5480 公告中提及的多個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript 繞過不含「allow-scripts」的 CSP 沙箱標頭：URI 插入任意 web 指令碼或 HTML (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：在 Firefox 102 和 Firefox ESR 91.11 中修正了記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 91.11 版舊。因此，該應用程式受到 mfsa2022-26 公告中提及的多個弱點影響。

  - 可建立快顯視窗的惡意網站可調整快顯視窗的大小，使自己的內容重疊在位址列上，進而導致使用者可能產生混淆或偽造攻擊。此錯誤只會影響 macOS 和 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34479)

  - XML 文件之間的導覽可能會導致釋放後使用和可能遭惡意利用的當機。
    (CVE-2022-34470)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以這麼做。(CVE-2022-34468)

  - OpenPGP 數位簽章包含有關簽章建立日期的資訊。顯示含有數位簽章的電子郵件時，會顯示該電子郵件的日期。如果日期不同，則 Thunderbird 不會將電子郵件報告為具有無效的簽章。如果攻擊者執行重播攻擊 (稍後重新傳送含有舊內容的舊電子郵件)，可導致受害者相信電子郵件中的陳述式是最新的。Thunderbird 的修正版本將要求籤章日期與電子郵件顯示的日期需大致相符。(CVE-2022-2226)

  - 在 <code>nsTArrayImpl: : ReplaceElementsAt()</code> 函式中，當要取代的元素數量對於容器而言太大時，可能會發生整數溢位。(CVE-2022-34481)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而藉此繞過頁面的內容安全性原則。(CVE-2022-31744)

  - 如果已設定 PAC URL 且無法連線至託管 PAC 的伺服器，則 OCSP 要求會遭到封鎖，進而導致顯示不正確的錯誤頁面。(CVE-2022-34472)

  - <code>ms-msdt</code>、<code>search</code> 和 <code>search-ms</code> 通訊協定會在使用者接受提示後繞過瀏覽器，將內容傳送至 Microsoft 應用程式。這些應用程式有遭到猖獗利用的已知弱點 (不過我們知道沒有任何弱點會透過 Thunderbird 遭到惡意利用)，因此在此版本中，Thunderbird 已封鎖這些通訊協定提示使用者開啟。此錯誤只會影響 Windows 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34478)

  - 如果物件原型遭到攻擊者損毀，他們可在 JavaScript 物件上設定不需要的屬性，導致有權限的程式碼執行。(CVE-2022-2200)

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 Thunderbird 版本比 91.11.0-2 舊。因此，它受到 ALAS2-2022-1828 公告中所提及的多個弱點影響。

  - 當系統顯示電子郵件的寄件者，且寄件者名稱多次包含盲文模式空白字元時，Thunderbird 會顯示所有空格。攻擊者可利用此弱點傳送具有攻擊者數位簽章的電子郵件訊息，其中會顯示由攻擊者選定的任意寄件者電子郵件地址。如果寄件者名稱以錯誤的電子郵件地址開頭，後面跟著許多盲文空格字元，則看不到攻擊者的電子郵件地址。Thunderbird 會將隱藏的寄件者地址與簽章的電子郵件地址進行比較，因此如果 Thunderbird 接受了簽署金鑰或憑證，則該電子郵件會顯示為具有有效的數位簽章。
    (CVE-2022-1834)

  - Mozilla：洩漏跨來源資源長度 (CVE-2022-31736)

  - 惡意網頁可能會在 WebGL 中觸發釋放後使用，造成記憶體損毀以及可能遭到利用的當機問題。(CVE-2022-31737)

  - Mozilla：使用全螢幕模式偽造瀏覽器視窗 (CVE-2022-31738)

  - 在 arm64 上，WASM 程式碼可導致產生不正確的組件，進而導致暫存器配置問題以及可能遭到利用的當機問題。(CVE-2022-31740)

  - Mozilla：未初始化的變數導致無效的記憶體讀取 (CVE-2022-31741)

  - Mozilla：使用大量 allowCredential 項目查詢 WebAuthn 權杖時，可能已洩漏跨來源資訊 (CVE-2022-31742)

  - Mozilla 開發人員 Andrew McCreight、Nicolas B. Pierron 及 Mozilla Fuzzing 團隊報告 Firefox 100 和 Firefox ESR 91.9 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-31747)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機上有一個套件受到 ELSA-2022-5470 公告中提及的多個弱點影響。

  - 如果物件原型遭到攻擊者損毀，他們可在 JavaScript 物件上設定不需要的屬性，導致有權限的程式碼執行。(CVE-2022-2200)

  - 如果已設定 PAC URL 且無法連線至託管 PAC 的伺服器，則 OCSP 要求會遭到封鎖，進而導致顯示不正確的錯誤頁面。(CVE-2022-34472)

  - 可建立快顯視窗的惡意網站可調整快顯視窗的大小，使自己的內容重疊在位址列上，進而導致使用者可能產生混淆或偽造攻擊。此錯誤只會影響 macOS 和 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34479)

  - 在 <code>nsTArrayImpl: : ReplaceElementsAt()</code> 函式中，當要取代的元素數量對於容器而言太大時，可能會發生整數溢位。(CVE-2022-34481)

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-34484)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而藉此繞過頁面的內容安全性原則。(CVE-2022-31744)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以這麼做。(CVE-2022-34468)

  - XML 文件之間的導覽可能會導致釋放後使用和可能遭惡意利用的當機。
    (CVE-2022-34470)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 10/11 主機上安裝的多個套件受到 dsa-5175 公告中提及的多個弱點影響。

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Firefox < 102、Firefox ESR < 91.11、Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-34484)

  - 如果攻擊者成功損毀物件原型，則他們可在 JavaScript 物件上設定不需要的屬性，從而在取得特殊權限後發動程式碼執行攻擊。此弱點會影響 Firefox < 102、Firefox ESR < 91.11、Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-2200)

  - OpenPGP 數位簽章包含有關簽章建立日期的資訊。顯示含有數位簽章的電子郵件時，會顯示該電子郵件的日期。如果日期不同，則 Thunderbird 不會將電子郵件報告為具有無效的簽章。如果攻擊者執行重播攻擊 (稍後重新傳送含有舊內容的舊電子郵件)，可導致受害者相信電子郵件中的陳述式是最新的。Thunderbird 的修正版本將要求籤章日期與電子郵件顯示的日期需大致相符。此弱點會影響 Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-2226)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表 (例如 resource:) 中，進而繞過頁面的內容安全性原則。此弱點會影響 Firefox ESR < 91.11、Thunderbird < 102、Thunderbird < 91.11 和 Firefox < 101。(CVE-2022-31744)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以執行指令碼。此弱點會影響 Firefox < 102、Firefox ESR < 91.11、Thunderbird < 102 和 Thunderbird < 91.11。(CVE-2022-34468)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 18.04 LTS/20.04 LTS/21.10/22.04 LTS 主機上安裝的多個套件受到 USN-5512-1 公告中提及的多個弱點影響。

  - 當系統顯示電子郵件的寄件者，且寄件者名稱多次包含盲文模式空白字元時，Thunderbird 會顯示所有空格。攻擊者可利用此弱點傳送具有攻擊者數位簽章的電子郵件訊息，其中會顯示由攻擊者選定的任意寄件者電子郵件地址。如果寄件者名稱以錯誤的電子郵件地址開頭，後面跟著許多盲文空格字元，則看不到攻擊者的電子郵件地址。Thunderbird 會將隱藏的寄件者地址與簽章的電子郵件地址進行比較，因此如果 Thunderbird 接受了簽署金鑰或憑證，則該電子郵件會顯示為具有有效的數位簽章。
    (CVE-2022-1834)

  - 如果物件原型遭到攻擊者損毀，他們可在 JavaScript 物件上設定不需要的屬性，導致有權限的程式碼執行。(CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：洩漏跨來源資源長度 (CVE-2022-31736)

  - 惡意網頁可能會在 WebGL 中觸發釋放後使用，造成記憶體損毀以及可能遭到利用的當機問題。(CVE-2022-31737)

  - Mozilla：使用全螢幕模式偽造瀏覽器視窗 (CVE-2022-31738)

  - 在 arm64 上，WASM 程式碼可導致產生不正確的組件，進而導致暫存器配置問題以及可能遭到利用的當機問題。(CVE-2022-31740)

  - Mozilla：未初始化的變數導致無效的記憶體讀取 (CVE-2022-31741)

  - Mozilla：使用大量 allowCredential 項目查詢 WebAuthn 權杖時，可能已洩漏跨來源資訊 (CVE-2022-31742)

  - 攻擊者可將 CSS 注入可透過內部 URI 存取的樣式表中，例如 resource:，進而藉此繞過頁面的內容安全性原則。(CVE-2022-31744)

  - Mozilla 開發人員 Andrew McCreight、Nicolas B. Pierron 及 Mozilla Fuzzing 團隊報告 Firefox 100 和 Firefox ESR 91.9 中存在記憶體安全錯誤。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-31747)

  - 如果使用者按一下 <code>javascript:</code> 連結，則不允許執行指令碼的 iframe 就可以執行指令碼。(CVE-2022-34468)

  - XML 文件之間的導覽可能會導致釋放後使用和可能遭惡意利用的當機。
    (CVE-2022-34470)

  - 如果已設定 PAC URL 且無法連線至託管 PAC 的伺服器，則 OCSP 要求會遭到封鎖，進而導致顯示不正確的錯誤頁面。(CVE-2022-34472)

  - 可建立快顯視窗的惡意網站可調整快顯視窗的大小，使自己的內容重疊在位址列上，進而導致使用者可能產生混淆或偽造攻擊。此錯誤只會影響 macOS 和 Linux 作業系統上的 Thunderbird。其他作業系統不受影響。(CVE-2022-34479)

  - 在 <code>nsTArrayImpl: : ReplaceElementsAt()</code> 函式中，當要取代的元素數量對於容器而言太大時，可能會發生整數溢位。(CVE-2022-34481)

  - Mozilla Fuzzing Team 報告 Thunderbird 91.10 中存在潛在弱點。其中某些錯誤顯示記憶體遭到損毀，我們推測若有心人士有意操控，可能利用其中部分錯誤執行任意程式碼。(CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2022:5480 公告中提及的多個弱點影響。

  - Mozilla：可將不需要的屬性設為原型污染的一部分 (CVE-2022-2200)

  - Mozilla：OpenPGP 簽章日期不符的電子郵件已被接受為有效 (CVE-2022-2226)

  - Mozilla：啟用樣式表插入的 CSP 繞過 (CVE-2022-31744)

  - Mozilla：可透過重新導向的 javascript: URI 繞過不含「allow-scripts」的 CSP 沙箱標頭 (CVE-2022-34468)

  - Mozilla：nsSHistory 中的釋放後使用 (CVE-2022-34470)

  - Mozilla：不可用的 PAC 檔案導致 OCSP 要求遭到封鎖 (CVE-2022-34472)

  - Mozilla：可重設快顯視窗大小，使網址列與 Web 內容重疊 (CVE-2022-34479)

  - Mozilla：ReplaceElementsAt 中的潛在整數溢位 (CVE-2022-34481)

  - Mozilla：已修正 Firefox 102 和 Firefox ESR 91.11 中的記憶體安全性錯誤 (CVE-2022-34484)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
162648	Slackware Linux 15.0 / 最新版 mozilla-thunderbird 多個弱點 (SSA:2022-181-01)	Nessus	Slackware Local Security Checks	2022/7/1	2023/10/19	critical
162668	RHEL 8：thunderbird (RHSA-2022: 5473)	Nessus	Red Hat Local Security Checks	2022/7/1	2024/4/28	critical
162723	Scientific Linux 安全性更新：SL7.x x86_64 上的 thunderbird (2022:5480)	Nessus	Scientific Linux Local Security Checks	2022/7/5	2023/10/19	critical
162642	RHEL 8：thunderbird (RHSA-2022: 5478)	Nessus	Red Hat Local Security Checks	2022/7/1	2024/4/28	critical
162664	RHEL 9：thunderbird (RHSA-2022: 5482)	Nessus	Red Hat Local Security Checks	2022/7/1	2024/4/28	critical
163986	GLSA-202208-14：Mozilla Thunderbird：多個弱點	Nessus	Gentoo Local Security Checks	2022/8/10	2023/10/16	critical
162641	RHEL 8：thunderbird (RHSA-2022: 5470)	Nessus	Red Hat Local Security Checks	2022/7/1	2024/4/28	critical
162667	RHEL 8：thunderbird (RHSA-2022: 5475)	Nessus	Red Hat Local Security Checks	2022/7/1	2024/4/28	critical
162786	Oracle Linux 9：thunderbird (ELSA-2022-5482)	Nessus	Oracle Linux Local Security Checks	2022/7/7	2023/10/19	critical
162671	Mozilla Thunderbird < 91.11	Nessus	Windows	2022/7/1	2023/10/19	critical
162679	Oracle Linux 7：thunderbird (ELSA-2022-5480)	Nessus	Oracle Linux Local Security Checks	2022/7/1	2023/10/19	critical
163737	CentOS 7：thunderbird (CESA-2022: 5480)	Nessus	CentOS Local Security Checks	2022/8/2	2023/10/17	critical
162670	Mozilla Thunderbird < 91.11	Nessus	MacOS X Local Security Checks	2022/7/1	2023/10/19	critical
163319	Amazon Linux 2：thunderbird (ALAS-2022-1828)	Nessus	Amazon Linux Local Security Checks	2022/7/21	2023/2/20	critical
162683	Oracle Linux 8：thunderbird (ELSA-2022-5470)	Nessus	Oracle Linux Local Security Checks	2022/7/1	2023/10/19	critical
162719	Debian DSA-5175-1：thunderbird - 安全性更新	Nessus	Debian Local Security Checks	2022/7/5	2023/10/19	critical
163109	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS：thunderbird 弱點 (USN-5512-1)	Nessus	Ubuntu Local Security Checks	2022/7/14	2023/10/16	critical
162656	RHEL 7：thunderbird (RHSA-2022:5480)	Nessus	Red Hat Local Security Checks	2022/7/1	2024/4/23	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical