GLSA-202210-35 : Mozilla Thunderbird:多个漏洞

high Nessus 插件 ID 166745

语言:

描述

远程主机受到 GLSA-202210-35 中所述漏洞的影响(Mozilla Thunderbird:多个漏洞)

- Matrix Javascript SDK 是适用于 JavaScript 的 Matrix Client-Server SDK。从 17.1.0-rc.1 版开始,格式错误的信标事件可能会中断或阻止 matrix-js-sdk 正常运行,从而可能影响使用者安全处理数据的能力。请注意,matrix-js-sdk 可能看似正常运行,但实际排除或损坏呈现给使用者的运行时数据。
现已在 matrix-js-sdk v19.7.0 中修补此问题。编辑适用的事件、等待同步处理器存储数据以及重新启动客户端,这些都是可能的变通方案。或者,通过编辑适用的事件并清除所有存储可以进一步修复发现的问题。此外,降低到不受影响的版本也可以解决该问题,但请注意,此类版本可能受到其他漏洞影响。(CVE-2022-39236)

- Matrix Javascript SDK 是适用于 JavaScript 的 Matrix Client-Server SDK。在低于 19.7.0 的版本中,与恶意主服务器合作的攻击者可构造看似来自其他用户的消息。
此类消息在某些平台上会以灰色保护盾标记,但在其他平台中可能会丢失。因为 matrix-js-sdk 在接收端实施的密钥转发策略过于宽松,所以可能会触发此攻击。从 19.7.0 版开始,matrix-js-sdk 中接受密钥转发的默认策略变得更加严格。 matrix-js-sdk 现在仅接受为响应之前发出的请求而转发的密钥,且仅接受来自已验证的自有设备转发的密钥。现在,SDK 会根据用于解密消息的密钥是否来自受信任的来源,在解密时为解密的消息设置“trusted”标记。客户端需要确保以包含“trusted = false”的密钥解密的消息得到适当修饰,例如针对此类消息显示警告。此攻击需要恶意主服务器和攻击者之间协调,信任您的主服务器的用户不需要变通方案。(CVE-2022-39249)

- Matrix JavaScript SDK 是适用于 JavaScript 的 Matrix Client-Server 软件开发套件 (SDK)。在低于 19.7.0 的版本中,与恶意主服务器合作的攻击者可干预两个用户之间的验证流程,注入其自己的交叉签名用户身份,而不是其中一个用户的身份。这将导致其他设备信任/验证在主服务器控制下的用户身份,而不是预期的身份。该漏洞是 matrix-js-sdk 中的一个缺陷,原因在于程序在两个单独的步骤中检查和签署用户身份及设备,并且未充分修复要在这些步骤之间签署的密钥。由于设计决策中将交叉签名用户身份视为服务器端的 Matrix 设备(其设备 ID 设置为用户身份密钥的公开部分),因而使攻击成为可能,但检查过的实施中尚无其他易受攻击的实施。
从 19.7.0 版开始,matrix-js-sdk 已被修改为仔细检查签名的密钥是否经过验证,而不是仅按 ID 引用密钥。当其中一个设备 ID 与交叉签名密钥匹配时,会执行额外检查以报告错误。此攻击需要恶意主服务器和攻击者之间协调,信任主服务器的用户不需要特殊变通方案。(CVE-2022-39250)

- Matrix Javascript SDK 是适用于 JavaScript 的 Matrix Client-Server SDK。在低于 19.7.0 的版本中,与恶意主服务器合作的攻击者可构造看似来自其他用户的合法消息,但没有以灰色保护盾等指明。此外,有经验的攻击者若与恶意主服务器合作,则可能会利用此漏洞来执行有针对性的攻击,以便向设备发送看似来自其他用户虚假 to-device 消息。例如,这可允许在自我验证期间注入密钥备份机密,从而使目标设备开始使用由主服务器伪造的恶意密钥备份。这些攻击之所以可能,原因在于存在协议混淆漏洞,程序会接受使用 Megolm 而不是 Olm 加密的 to-device 消息。从 19.7.0 版开始,matrix-js-sdk 已修改为仅接受使用 Olm 加密的 to-device 消息。出于谨慎考虑,目前已审核或添加其他几项检查。此攻击需要恶意主服务器和攻击者之间协调,信任主服务器的用户不需要变通方案。
(CVE-2022-39251)

- 违反同源策略可允许窃取跨源 URL 条目,从而通过 <code>performance.getEntries()</code> 泄露重定向的结果。 (CVE-2022-42927)

- 某些类型的分配缺少注释,如果垃圾回收器处于特定状态,则可导致内存损坏和潜在可利用的崩溃。 (CVE-2022-42928)

- 如果网站以特定方式调用 <code>window.print()</code> ,可能会造成浏览器拒绝服务,根据用户的会话还原设置,这种情况可能会在浏览器重新启动后持续存在。
(CVE-2022-42929)

- Mozilla 开发人员 Ashley Hale 和 Mozilla Fuzzing 团队报告 Thunderbird 102.3 中存在内存安全错误。其中某些错误展示出内存损坏迹象,我们推测若攻击者付出足够努力,就能利用部分错误运行任意代码。(CVE-2022-42932)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

所有 Mozilla Thunderbird 用户均应升级到最新版本:

# emerge --sync # emerge --ask --oneshot --verbose >=mail-client/thunderbird-102.4.0 所有 Mozilla Thunderbird 二进制用户均应升级至最新版本:

# emerge --sync # emerge --ask --oneshot --verbose >=mail-client/thunderbird-bin-102.4.0

另见

https://security.gentoo.org/glsa/202210-35

https://bugs.gentoo.org/show_bug.cgi?id=873667

https://bugs.gentoo.org/show_bug.cgi?id=878315

插件详情

严重性: High

ID: 166745

文件名: gentoo_GLSA-202210-35.nasl

版本: 1.2

类型: local

发布时间: 2022/10/31

最近更新时间: 2022/10/31

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: AV:N/AC:L/Au:N/C:P/I:P/A:P

时间矢量: E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2022-42932

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

时间矢量: E:U/RL:O/RC:C

CVSS 分数来源: CVE-2022-39251

漏洞信息

CPE: p-cpe:/a:gentoo:linux:thunderbird, p-cpe:/a:gentoo:linux:thunderbird-bin, cpe:/o:gentoo:linux

必需的 KB 项: Host/local_checks_enabled, Host/Gentoo/release, Host/Gentoo/qpkg-list

易利用性: No known exploits are available

补丁发布日期: 2022/10/31

漏洞发布日期: 2022/9/28

参考资料信息

CVE: CVE-2022-39236, CVE-2022-39249, CVE-2022-39250, CVE-2022-39251, CVE-2022-42927, CVE-2022-42928, CVE-2022-42929, CVE-2022-42932