現已提供適用於 Red Hat Enterprise Linux 6 的 thunderbird 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Mozilla Thunderbird 是獨立式郵件與新聞群組用戶端。此更新會將 Thunderbird 升級至 60.5.0 版。安全性修正：* Mozilla：釋放後使用剖析 HTML5 串流 (CVE-2018-18500) * Mozilla：在 Firefox 65 和 Firefox ESR 60.5 已修正記憶體安全性錯誤 (CVE-2018-18501) * Mozilla：透過 IPC 通道訊息提升權限 (CVE-2018-18505) * libical：多個釋放後使用弱點 (CVE-2016-5824) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Mozilla 專案報告這些問題。上游確認 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis 為原始報告者。

遠端 Windows 主機上安裝的 Thunderbird 版本比 60.5 版舊。因此，會受到 mfsa2019-03 公告中所提及的多個弱點影響。- 使用自訂 HTML 元素剖析 HTML5 串流時，出現釋放後使用弱點。這造成串流剖析器物件在使用中狀態下遭到釋放，進而導致可能遭到惡意利用的損毀。(CVE-2018-18500) - 處理序間通訊 (IPC) 弱點 (CVE-2011-3079) 先前的修正程式在 IPC 端點與伺服器父項之間新增了 IPC 程序建立期間的通訊驗證。此驗證對於啟動 IPC 程序後才建立的通道並不足夠，導致系統未將驗證正確套用到後來的通道。這可能會造成沙箱經由 IPC 通道逸出，這是因為接聽程式程序中缺乏訊息驗證所致。(CVE-2018-18505) - Thunderbird 所使用的 Libical 程式庫中有一個弱點，遠端攻擊者可藉以透過特製的 ICS 行事曆檔案造成拒絕服務 (釋放後使用)。(CVE-2016-5824) - Mozilla 開發人員和社群成員 Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong 及 Christian Holler 指出 Firefox 64、Firefox ESR 60.4 和 Thunderbird 60.4 中有記憶體安全性錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。(CVE-2018-18501) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 thunderbird 套件：- libical 1.0 讓遠端攻擊者得以透過特製的 ics 檔案造成拒絕服務 (釋放後使用)。(CVE-2016-5824) - 配合自訂 HTML 元素剖析 HTML5 串流時，出現釋放後使用弱點。這造成串流剖析器物件在使用中狀態下遭到釋放，進而導致可能遭到惡意利用的損毀。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18500) - Mozilla 開發人員和社群成員報告 Firefox 64 和 Firefox ESR 60.4 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18501) - 處理序間通訊 (IPC) 弱點 (CVE-2011-3079) 先前的修正程式在 IPC 端點與伺服器父項之間新增了 IPC 程序建立期間的通訊驗證。此驗證對於啟動 IPC 程序後才建立的通道並不足夠，導致系統未將驗證正確套用到後來的通道。這可能會造成沙箱經由 IPC 通道逸出，這是因為接聽程式程序中缺乏訊息驗證所致。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18505) - Mozilla 開發人員和社群成員報告 Firefox 63 和 Firefox ESR 60.3 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-12405) - 刪除選取元素後可能會產生釋放後使用弱點，這是因為選項集合中對選取元素的參照太弱所導致。這會造成可能遭惡意利用的當機。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18492) - 利用硬體加速畫布 2D 動作進行緩衝區位移計算時，Skia 程式庫中會發生緩衝區溢位情形，這是因為使用的是 32 位元計算法而非 64 位元計算法所導致。這會造成可能遭惡意利用的當機。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18493) - 使用 Javascript 位置屬性時，同源原則違規會造成跨源 URL 項目遭竊，進而導致系統使用 performance.getEntries() 重新導向至另一個網站。這是同源原則違規，可能導致資料遭竊。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18494) - 若使用的是原始值而非檢查值，則在對影像進行緩衝區大小計算時，可能會發生引發整數溢位的弱點。這可能會導致越界寫入。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18498) - 在 70.0.3538.67 之前的 Google Chrome 中，Angle 處理紋理的方式錯誤，遠端攻擊者因而得以透過特製的 HTML 頁面執行越界記憶體讀取。(CVE-2018-17466) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

執行 MAIN 4.06 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 thunderbird 套件：- libical 1.0 讓遠端攻擊者得以透過特製的 ics 檔案造成拒絕服務 (釋放後使用)。(CVE-2016-5824) - 配合自訂 HTML 元素剖析 HTML5 串流時，出現釋放後使用弱點。這造成串流剖析器物件在使用中狀態下遭到釋放，進而導致可能遭到惡意利用的損毀。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18500) - Mozilla 開發人員和社群成員報告 Firefox 64 和 Firefox ESR 60.4 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18501) - 處理序間通訊 (IPC) 弱點 (CVE-2011-3079) 先前的修正程式在 IPC 端點與伺服器父項之間新增了 IPC 程序建立期間的通訊驗證。此驗證對於啟動 IPC 程序後才建立的通道並不足夠，導致系統未將驗證正確套用到後來的通道。這可能會造成沙箱經由 IPC 通道逸出，這是因為接聽程式程序中缺乏訊息驗證所致。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18505) - Mozilla 開發人員和社群成員報告 Firefox 63 和 Firefox ESR 60.3 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-12405) - 刪除選取元素後可能會產生釋放後使用弱點，這是因為選項集合中對選取元素的參照太弱所導致。這會造成可能遭惡意利用的當機。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18492) - 利用硬體加速畫布 2D 動作進行緩衝區位移計算時，Skia 程式庫中會發生緩衝區溢位情形，這是因為使用的是 32 位元計算法而非 64 位元計算法所導致。這會造成可能遭惡意利用的當機。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18493) - 使用 Javascript 位置屬性時，同源原則違規會造成跨源 URL 項目遭竊，進而導致系統使用 performance.getEntries() 重新導向至另一個網站。這是同源原則違規，可能導致資料遭竊。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18494) - 若使用的是原始值而非檢查值，則在對影像進行緩衝區大小計算時，可能會發生引發整數溢位的弱點。這可能會導致越界寫入。此弱點會影響 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18498) - 在 70.0.3538.67 之前的 Google Chrome 中，Angle 處理紋理的方式錯誤，遠端攻擊者因而得以透過特製的 HTML 頁面執行越界記憶體讀取。(CVE-2018-17466) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

此更新會將 Thunderbird 升級至 60.5.0 版。安全性修正：- Mozilla：釋放後使用剖析 HTML5 串流 (CVE-2018-18500) - Mozilla：在 Firefox 65 和 Firefox ESR 60.5 已修正記憶體安全性錯誤 (CVE-2018-18501) - Mozilla：透過 IPC 通道訊息提升權限 (CVE-2018-18505) - libical：多個釋放後使用弱點 (CVE-2016-5824)

在 libical iCalendar 程式庫中發現一個釋放後使用弱點。遠端攻擊者可能透過特製的 .ICS 檔案，造成拒絕服務情況或可能讀取堆積記憶體。針對 Debian 7「Wheezy」，此問題已於 libical 0.48-2+deb7u1 版本中修正。建議您升級 libical 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

來自 Red Hat 安全性公告 2019:0270： 現已提供適用於 Red Hat Enterprise Linux 7 的 thunderbird 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Mozilla Thunderbird 是獨立式郵件與新聞群組用戶端。 此更新會將 Thunderbird 升級至 60.5.0 版。 安全性修正： * Mozilla：剖析 HTML5 資料流存在釋放後使用 (CVE-2018-18500) * Mozilla：已修正 Firefox 65 和 Firefox ESR 60.5 中的記憶體安全性錯誤 (CVE-2018-18501) * Mozilla：透過 IPC 通道訊息造成權限提升 (CVE-2018-18505) * libical：多個釋放後使用弱點 (CVE-2016-5824) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。 Red Hat 感謝 Mozilla 專案報告這些問題。上游確認 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis 為原始報告者。

遠端主機受到 GLSA-201904-07 中所述的弱點影響 (Mozilla Thunderbird 與 Firefox：多個弱點) 在 Mozilla Thunderbird 與 Firefox 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 Mozilla 基礎安全性公告和 CVE 識別碼。影響：如需詳細資訊，請檢閱以下提及的 Mozilla 基礎安全性公告和 CVE 識別碼。因應措施：目前尚無已知的因應措施。

現已提供適用於 Red Hat Enterprise Linux 7 的 thunderbird 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Mozilla Thunderbird 是獨立式郵件與新聞群組用戶端。此更新會將 Thunderbird 升級至 60.5.0 版。安全性修正：* Mozilla：釋放後使用剖析 HTML5 串流 (CVE-2018-18500) * Mozilla：在 Firefox 65 和 Firefox ESR 60.5 已修正記憶體安全性錯誤 (CVE-2018-18501) * Mozilla：透過 IPC 通道訊息提升權限 (CVE-2018-18505) * libical：多個釋放後使用弱點 (CVE-2016-5824) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Mozilla 專案報告這些問題。上游確認 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis 為原始報告者。

遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 60.5 舊。因此，會受到 mfsa2019-03 公告中所提及的多個弱點影響。- 使用自訂 HTML 元素剖析 HTML5 串流時，出現釋放後使用弱點。這造成串流剖析器物件在使用中狀態下遭到釋放，進而導致可能遭到惡意利用的損毀。(CVE-2018-18500) - 處理序間通訊 (IPC) 弱點 (CVE-2011-3079) 先前的修正程式在 IPC 端點與伺服器父項之間新增了 IPC 程序建立期間的通訊驗證。此驗證對於啟動 IPC 程序後才建立的通道並不足夠，導致系統未將驗證正確套用到後來的通道。這可能會造成沙箱經由 IPC 通道逸出，這是因為接聽程式程序中缺乏訊息驗證所致。(CVE-2018-18505) - Thunderbird 所使用的 Libical 程式庫中有一個弱點，遠端攻擊者可藉以透過特製的 ICS 行事曆檔案造成拒絕服務 (釋放後使用)。(CVE-2016-5824) - Mozilla 開發人員和社群成員 Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong 及 Christian Holler 指出 Firefox 64、Firefox ESR 60.4 和 Thunderbird 60.4 中有記憶體安全性錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。(CVE-2018-18501) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-201904-02 中所述的弱點影響 (Libical：多個弱點) 在 Libical 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。影響：如需詳細資料，請檢閱提及的 CVE 識別碼。因應措施：目前尚無已知的因應措施。

來自 Red Hat 安全性公告 2019:0269： 現已提供適用於 Red Hat Enterprise Linux 6 的 thunderbird 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Mozilla Thunderbird 是獨立式郵件與新聞群組用戶端。 此更新會將 Thunderbird 升級至 60.5.0 版。 安全性修正： * Mozilla：剖析 HTML5 資料流存在釋放後使用 (CVE-2018-18500) * Mozilla：已修正 Firefox 65 和 Firefox ESR 60.5 中的記憶體安全性錯誤 (CVE-2018-18501) * Mozilla：透過 IPC 通道訊息造成權限提升 (CVE-2018-18505) * libical：多個釋放後使用弱點 (CVE-2016-5824) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。 Red Hat 感謝 Mozilla 專案報告這些問題。上游確認 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis 為原始報告者。

在 libical 中發現了釋放後使用弱點。如果使用者遭到誘騙而開啟特製的 ICS 行事曆檔案，攻擊者可能會利用此弱點造成拒絕服務。(CVE-2016-5824)

在 Thunderbird 中發現多個安全性問題。如果使用者遭誘騙而開啟特製訊息，攻擊者可能會利用這些弱點造成拒絕服務，或執行任意程式碼。(CVE-2018-18356、CVE-2018-18500、CVE-2019-5785)

在 Thunderbird 中發現多個安全性問題。如果使用者遭誘騙而開啟瀏覽內容中的特製網站，攻擊者可能會利用這些弱點造成拒絕服務，透過逸出沙箱獲得額外的權限或是執行任意程式碼。(CVE-2018-18501、CVE-2018-18505)

在某些情況下，在 S/MIME 簽章驗證中發現了一個問題。攻擊者可能惡意利用此問題，偽造任意內容的簽章。(CVE-2018-18509)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

執行 MAIN 4.05 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 thunderbird 套件：- libical 1.0 讓遠端攻擊者得以透過特製的 ics 檔案造成拒絕服務 (釋放後使用)。(CVE-2016-5824) - 配合自訂 HTML 元素剖析 HTML5 串流時，出現釋放後使用弱點。這造成串流剖析器物件在使用中狀態下遭到釋放，進而導致可能遭到惡意利用的損毀。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18500) - Mozilla 開發人員和社群成員報告 Firefox 64 和 Firefox ESR 60.4 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可惡意利用其中部分錯誤執行任意程式碼。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18501) - 處理序間通訊 (IPC) 弱點 (CVE-2011-3079) 先前的修正程式在 IPC 端點與伺服器父項之間新增了 IPC 程序建立期間的通訊驗證。此驗證對於啟動 IPC 程序後才建立的通道並不足夠，導致系統未將驗證正確套用到後來的通道。這可能會造成沙箱經由 IPC 通道逸出，這是因為接聽程式程序中缺乏訊息驗證所致。此弱點會影響 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18505) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
122064	CentOS 6：thunderbird (CESA-2019:0269)	Nessus	CentOS Local Security Checks	2019/2/11	2021/2/10	critical
121600	Mozilla Thunderbird < 60.5	Nessus	Windows	2019/2/5	2022/5/24	critical
127238	NewStart CGSL CORE 5.04 / MAIN 5.04：thunderbird 多個弱點 (NS-SA-2019-0052)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/29	critical
127315	NewStart CGSL MAIN 4.06：thunderbird 多個弱點 (NS-SA-2019-0093)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/29	critical
121631	Scientific Linux 安全性更新：SL7.x x86_64 上的 thunderbird	Nessus	Scientific Linux Local Security Checks	2019/2/7	2021/3/1	critical
100479	Debian DLA-959-1：libical 安全性更新	Nessus	Debian Local Security Checks	2017/5/30	2021/1/11	critical
121584	Oracle Linux 7 : thunderbird (ELSA-2019-0270)	Nessus	Oracle Linux Local Security Checks	2019/2/5	2021/2/10	critical
121607	Scientific Linux 安全性更新：SL6.x i386/x86_64 上的 thunderbird	Nessus	Scientific Linux Local Security Checks	2019/2/6	2021/3/1	critical
123581	GLSA-201904-07：Mozilla Thunderbird 與 Firefox：多個弱點	Nessus	Gentoo Local Security Checks	2019/4/2	2022/5/23	critical
121586	RHEL 7：thunderbird (RHSA-2019:0270)	Nessus	Red Hat Local Security Checks	2019/2/5	2024/4/27	critical
121599	Mozilla Thunderbird < 60.5	Nessus	MacOS X Local Security Checks	2019/2/5	2022/5/24	critical
123576	GLSA-201904-02：Libical：多個弱點	Nessus	Gentoo Local Security Checks	2019/4/2	2020/1/27	medium
121583	Oracle Linux 6 : thunderbird (ELSA-2019-0269)	Nessus	Oracle Linux Local Security Checks	2019/2/5	2021/2/10	critical
121585	RHEL 6：thunderbird (RHSA-2019:0269)	Nessus	Red Hat Local Security Checks	2019/2/5	2022/1/28	critical
122065	CentOS 7：thunderbird (CESA-2019:0270)	Nessus	CentOS Local Security Checks	2019/2/11	2021/2/10	critical
122482	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：thunderbird 弱點 (USN-3897-1)	Nessus	Ubuntu Local Security Checks	2019/2/27	2023/10/20	critical
127434	NewStart CGSL MAIN 4.05：thunderbird 多個弱點 (NS-SA-2019-0156)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/29	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

medium

critical

critical

critical

critical

critical