Amazon Linux 2：thunderbird (ALAS-2020-1496)

high Nessus 插件 ID 141108

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的测试产品版本低于测试版本。因此，如公告 ALAS2-2020-1496 所述，受到多个漏洞的影响。

- 通过保留对 about:blank 窗口中的 eval() 函数的引用，恶意网页可获取 InstallTrigger 对象的访问权限，以提示用户安装扩展。此问题与用户混淆结合后，可导致系统安装非预期或恶意的扩展。此漏洞会影响版本低于 80 的 Firefox、版本低于 78.2 的 Thunderbird、版本低于 68.12 的 Thunderbird、版本低于 68.12 的 Firefox ESR、版本低于 78.2 的 Firefox ESR 和版本低于 80 的 Firefox for Android。(CVE-2020-15664)

- 如果中止某个操作（如提取），则在警告要通知的对象时，中止信号可能会被删除。这会导致释放后使用，我们推测若攻击者有意操控，就能利用此问题运行任意代码。此漏洞会影响版本低于 68.12 的 Firefox ESR 和版本低于 68.12 的 Thunderbird。
(CVE-2020-15669)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。