Mozilla Thunderbird < 91.11

critical Nessus 插件 ID 162671

简介

远程 Windows 主机上安装的邮件客户端受到多个漏洞的影响。

描述

远程 Windows 主机上安装的 Thunderbird 版本低于 91.11。因此,该应用程序受到 mfsa2022-26 公告中提及的多个漏洞的影响。

- 可创建弹出窗口的恶意网站可能会调整弹出窗口的大小,使其自己的内容覆盖地址栏,从而可能使用户混淆不清或造成欺骗攻击。此错误仅影响 Linux 版 Thunderbird。其他操作系统不受影响。(CVE-2022-34479)

- XML 文档之间的导航可能导致释放后使用和易被利用的崩溃。
(CVE-2022-34470)

- 如果用户点击 <code>javascript:</code> 链接,不准许运行脚本的 iframe 将能够完成此操作。(CVE-2022-34468)

- OpenPGP 数字签名包含有关签名创建日期的信息。显示包含数字签名的电子邮件时,将显示该电子邮件的日期。如果日期不同,Thunderbird 不会将该电子邮件报告为具有无效签名。如果攻击者执行了重放攻击,其中系统会稍后重新发送包含旧内容的旧电子邮件,则可能导致受害者认为该电子邮件中的内容是最新的。Thunderbird 的修复版本将要求签名的日期与电子邮件显示的日期大致匹配。 (CVE-2022-2226)

- 在 <code>nsTArrayImpl 中:: 在使用 ReplaceElementsAt()</code> 函数时,当要替换的元素数量对于容器来说太大时,可能会发生整数溢出。(CVE-2022-34481)

- 攻击者可能已将 CSS 注入可通过内部 URI 访问的样式表例如(如 resource:),从而绕过页面的内容安全策略。(CVE-2022-31744)

- 如果设置了 PAC URL 并且无法访问托管该 PAC 的服务器,则 OCSP 请求将被阻止,从而导致显示不正确的错误页面。(CVE-2022-34472)

- 当用户接受提示时,<code>ms-msdt</code>、<code>search</code> 和 <code>search-ms</code> 协议会绕过浏览器向 Microsoft 应用程序传递内容。这些应用程序存在被广泛利用的漏洞(尽管我们知道 Thunderbird 不会利用任意漏洞),因此在此版本中 Thunderbird 已阻止这些协议提示用户打开它们。此错误仅影响 Windows 版 Thunderbird。其他操作系统不受影响。(CVE-2022-34478)

- 如果攻击者损坏了对象原型,他们将能够在 JavaScript 对象上设置不需要的属性,从而导致系统执行特权代码。(CVE-2022-2200)

- Mozilla Fuzzing Team 报告 Thunderbird 91.10 中存在潜在漏洞。其中某些错误展示出内存损坏迹象,我们推测若攻击者付出足够努力,就能利用部分错误运行任意代码。(CVE-2022-34484)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级至 Mozilla Thunderbird 91.11 或更高版本。

另见

https://www.mozilla.org/en-US/security/advisories/mfsa2022-26/

插件详情

严重性: Critical

ID: 162671

文件名: mozilla_thunderbird_91_11.nasl

版本: 1.3

类型: local

代理: windows

系列: Windows

发布时间: 2022/7/1

最近更新时间: 2022/7/4

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent

风险信息

VPR

风险因素: High

分数: 8.4

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

时间矢量: CVSS2#E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2022-34484

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*

必需的 KB 项: Mozilla/Thunderbird/Version

易利用性: No known exploits are available

补丁发布日期: 2022/6/28

漏洞发布日期: 2022/6/2

参考资料信息

CVE: CVE-2022-31744, CVE-2022-34479, CVE-2022-34470, CVE-2022-34468, CVE-2022-34481, CVE-2022-34472, CVE-2022-34478, CVE-2022-2200, CVE-2022-34484, CVE-2022-2226

IAVA: 2022-A-0226-S