GLSA-202210-35: Mozilla Thunderbird：多个漏洞

high Nessus 插件 ID 166745

语言：

描述

远程主机受到 GLSA-202210-35 中所述漏洞的影响（Mozilla Thunderbird：多个漏洞）

- Matrix Javascript SDK 是适用于 JavaScript 的 Matrix Client-Server SDK。从 17.1.0-rc.1 版开始，格式错误的信标事件可能会中断或阻止 matrix-js-sdk 正常运行，从而可能影响使用者安全处理数据的能力。请注意，matrix-js-sdk 可能看似正常运行，但实际排除或损坏呈现给使用者的运行时数据。
现已在 matrix-js-sdk v19.7.0 中修补此问题。编辑适用的事件、等待同步处理器存储数据以及重新启动客户端，这些都是可能的变通方案。或者，通过编辑适用的事件并清除所有存储可以进一步修复发现的问题。此外，降低到不受影响的版本也可以解决该问题，但请注意，此类版本可能受到其他漏洞影响。(CVE-2022-39236)

- Matrix Javascript SDK 是适用于 JavaScript 的 Matrix Client-Server SDK。在低于 19.7.0 的版本中，与恶意主服务器合作的攻击者可构造看似来自其他用户的消息。
此类消息在某些平台上会以灰色保护盾标记，但在其他平台中可能会丢失。因为 matrix-js-sdk 在接收端实施的密钥转发策略过于宽松，所以可能会触发此攻击。从 19.7.0 版开始，matrix-js-sdk 中接受密钥转发的默认策略变得更加严格。 matrix-js-sdk 现在仅接受为响应之前发出的请求而转发的密钥，且仅接受来自已验证的自有设备转发的密钥。现在，SDK 会根据用于解密消息的密钥是否来自受信任的来源，在解密时为解密的消息设置“trusted”标记。客户端需要确保以包含“trusted = false”的密钥解密的消息得到适当修饰，例如针对此类消息显示警告。此攻击需要恶意主服务器和攻击者之间协调，信任您的主服务器的用户不需要变通方案。(CVE-2022-39249)

- Matrix JavaScript SDK 是适用于 JavaScript 的 Matrix Client-Server 软件开发套件 (SDK)。在低于 19.7.0 的版本中，与恶意主服务器合作的攻击者可干预两个用户之间的验证流程，注入其自己的交叉签名用户身份，而不是其中一个用户的身份。这将导致其他设备信任/验证在主服务器控制下的用户身份，而不是预期的身份。该漏洞是 matrix-js-sdk 中的一个缺陷，原因在于程序在两个单独的步骤中检查和签署用户身份及设备，并且未充分修复要在这些步骤之间签署的密钥。由于设计决策中将交叉签名用户身份视为服务器端的 Matrix 设备（其设备 ID 设置为用户身份密钥的公开部分），因而使攻击成为可能，但检查过的实施中尚无其他易受攻击的实施。
从 19.7.0 版开始，matrix-js-sdk 已被修改为仔细检查签名的密钥是否经过验证，而不是仅按 ID 引用密钥。当其中一个设备 ID 与交叉签名密钥匹配时，会执行额外检查以报告错误。此攻击需要恶意主服务器和攻击者之间协调，信任主服务器的用户不需要特殊变通方案。(CVE-2022-39250)

- Matrix Javascript SDK 是适用于 JavaScript 的 Matrix Client-Server SDK。在低于 19.7.0 的版本中，与恶意主服务器合作的攻击者可构造看似来自其他用户的合法消息，但没有以灰色保护盾等指明。此外，有经验的攻击者若与恶意主服务器合作，则可能会利用此漏洞来执行有针对性的攻击，以便向设备发送看似来自其他用户虚假 to-device 消息。例如，这可允许在自我验证期间注入密钥备份机密，从而使目标设备开始使用由主服务器伪造的恶意密钥备份。这些攻击之所以可能，原因在于存在协议混淆漏洞，程序会接受使用 Megolm 而不是 Olm 加密的 to-device 消息。从 19.7.0 版开始，matrix-js-sdk 已修改为仅接受使用 Olm 加密的 to-device 消息。出于谨慎考虑，目前已审核或添加其他几项检查。此攻击需要恶意主服务器和攻击者之间协调，信任主服务器的用户不需要变通方案。
(CVE-2022-39251)

- 违反同源策略可允许窃取跨源 URL 条目，从而通过 <code>performance.getEntries()</code> 泄露重定向的结果。 (CVE-2022-42927)

- 某些类型的分配缺少注释，如果垃圾回收器处于特定状态，则可导致内存损坏和潜在可利用的崩溃。 (CVE-2022-42928)

- 如果网站以特定方式调用 <code>window.print()</code> ，可能会造成浏览器拒绝服务，根据用户的会话还原设置，这种情况可能会在浏览器重新启动后持续存在。
(CVE-2022-42929)

- Mozilla 开发人员 Ashley Hale 和 Mozilla Fuzzing 团队报告 Thunderbird 102.3 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2022-42932)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

所有 Mozilla Thunderbird 用户均应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=mail-client/thunderbird-102.4.0 所有 Mozilla Thunderbird 二进制用户均应升级至最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=mail-client/thunderbird-bin-102.4.0