Slackware Linux 15.0 / 当前 mozilla-thunderbird 多个漏洞 (SSA:2022-068-01)
critical Nessus 插件 ID 158764
语言：
简介
远程 Slackware Linux 主机缺少 mozilla-thunderbird 的安全更新。描述
远程主机上安装的 mozilla-thunderbird 版本低于 91.7.0。因此，该应用程序受到 SSA:2022-068-01 公告中提及的多个漏洞的影响。- 如果攻击者可以控制使用 <code>allow-popups</code> 而非 <code>allow-scripts</code> 进行沙盒化的 iframe 内容，就可以构建链接（点击该链接将导致以违反沙盒的方式执行 JavaScript）。此漏洞会影响 Firefox < 98、Firefox ESR < 91.7 和 Thunderbird < 91.7。(CVE-2022-26384)
- 攻击者可通过在 SVG 对象中强制执行文本重排来造成释放后使用错误，从而引发可遭利用的程序崩溃问题。此漏洞会影响 Firefox < 98、Firefox ESR < 91.7 和 Thunderbird < 91.7。(CVE-2022-26381)
- 在调整请求全屏访问后弹出窗口的大小时，该弹出窗口不会显示全屏通知。此漏洞会影响 Firefox < 98、Firefox ESR < 91.7 和 Thunderbird < 91.7。
(CVE-2022-26383)
- macOS 和 Linux 上的 Firefox 之前会将临时文件下载到 <code>/tmp</code> 的用户特定目录中，但此行为已更改为将文件下载到 <code>/tmp</code> 中（其中的文件可能受到其他本地用户影响）。此行为已恢复为原始的、特定于用户的目录。
<br>*此错误仅影响 macOS 版和 Linux 版 Firefox。其他操作系统不受影响。* 此漏洞会影响 Firefox ESR < 91.7 和 Thunderbird < 91.7。(CVE-2022-26386)
- 安装附加组件时，Firefox 会在提示用户前验证签名；但是，当用户确认提示时，底层附加组件文件可能已被修改，而 Firefox 并不会注意到这一点。此漏洞会影响 Firefox < 98、Firefox ESR < 91.7 和 Thunderbird < 91.7。
(CVE-2022-26387)
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级受影响的 mozilla-thunderbird 程序包。插件详情
严重性: Critical
ID: 158764
文件名: Slackware_SSA_2022-068-01.nasl
版本: 1.5
类型: local
发布时间: 2022/3/10
最近更新时间: 2023/11/6
支持的传感器: Nessus
风险信息
VPR
风险因素: High
分数: 7.4
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2022-26384
CVSS v3
风险因素: Critical
基本分数: 9.6
时间分数: 8.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:slackware:slackware_linux:mozilla-thunderbird, cpe:/o:slackware:slackware_linux, cpe:/o:slackware:slackware_linux:15.0
必需的 KB 项: Host/local_checks_enabled, Host/Slackware/release, Host/Slackware/packages
可利用: true
易利用性: Exploits are available
漏洞发布日期: 2022/3/8
参考资料信息
CVE: CVE-2022-26381, CVE-2022-26383, CVE-2022-26384, CVE-2022-26386, CVE-2022-26387