RHEL 9：thunderbird (RHSA-2023: 0823)

high Nessus 插件 ID 171655

语言：

简介

远程 Red Hat 主机缺少一个或多个 thunderbird 安全更新。

描述

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2023: 0823 公告中提及的多个漏洞影响。

- Mozilla：合并 S/MIME 和 OpenPGP 的消息导致用户界面锁定 (CVE-2023-0616)

- Mozilla：使用 iframe 可在违规报告中泄漏内容安全策略 (CVE-2023-25728)

- 仅对 <code>ContentPrincipals</code> 显示打开外部方案的权限提示，导致扩展无需用户通过 <code>ExpandedPrincipals</code> 打开。这可导致进一步的恶意操作，例如下载文件或与系统上已安装的软件交互。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25729)

- Mozilla：可通过浏览器全屏模式执行屏幕劫持 (CVE-2023-25730)

- 当对 <code>xpcom</code> 中的 <code>inputStream</code> 数据进行编码时，未正确计算被编码输入的大小，这可能导致越界内存写入。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25732)

- 包装脚本化代理的跨隔离舱封装程序可导致将其他隔离舱中的对象存储在主隔离舱中，从而导致解包代理后发生释放后使用。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25735)

- 从 <code>nsTextNode</code> 到 <code>SVGElement</code> 的无效向下转换可导致未定义的行为。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。
(CVE-2023-25737)

- 未检查失败的模块加载请求是否已取消，从而导致 <code>ScriptLoadContext</code> 中的释放后使用。此漏洞会影响 Firefox < 110、Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25739)

- Mozilla：Web Crypto ImportKey 会损坏选项卡 (CVE-2023-25742)

- Mozilla：Firefox Focus 中未显示全屏通知 (CVE-2023-25743)

- Firefox 109 和 Firefox ESR 102.7 中存在内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 110 和 Firefox ESR < 102.8。(CVE-2023-25744)

- Firefox ESR 102.7 中存在内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 102.8 和 Firefox ESR < 102.8。(CVE-2023-25746)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。