thunderbird 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.5.0。安全修复：* Mozilla：分析 HTML5 流时的释放后使用 (CVE-2018-18500) * Mozilla：Firefox 65 和 Firefox ESR 60.5 中的内存安全缺陷已修复 (CVE-2018-18501) * Mozilla：通过 IPC 通道消息引起权限提升 (CVE-2018-18505) * libical：多个释放后使用漏洞 (CVE-2016-5824) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis。

远程 Windows 主机上安装的 Thunderbird 版本低于 60.5。因此，如公告 mfsa2019-03 所述，受到多个漏洞的影响。- 使用自定义 HTML 元素分析 HTML5 流时，出现释放后使用漏洞。这造成流分析器对象在使用状态下被释放，进而导致可能遭到利用的崩溃。(CVE-2018-18500) - 进程间通信 (IPC) 漏洞 CVE-2011-3079 先前的修补程序在 IPC 端点与服务器父级之间添加 IPC 程序创建期间的通信验证。此验证对于启动 IPC 程序后才创建的通道并不充分，导致系统未将验证正确应用到之后的通道。这可能会造成沙盒经由 IPC 通道逃逸，这是因为侦听程序中缺乏消息验证所致。(CVE-2018-18505) - Thunderbird 所使用的 Libical 库中有个漏洞，远程攻击者可由此通过特制的 ICS 日历文件造成拒绝服务（释放后使用）。(CVE-2016-5824) - Mozilla 开发人员和社区成员 Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong 及 Christian Holler 报告 Firefox 64、Firefox ESR 60.4 和 Thunderbird 60.4 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-18501) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 thunderbird 程序包：- libical 1.0 允许远程攻击者通过构建的 ics 文件造成拒绝服务（释放后使用）。(CVE-2016-5824) - 配合自定义 HTML 元素分析 HTML5 流时，出现释放后使用漏洞。这造成流分析器对象在使用状态下被释放，进而导致可能遭到利用的崩溃。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18500) - Mozilla 开发人员、社区成员报告 Firefox 64 和 Firefox ESR 60.4 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18501) - 进程间通信 (IPC) 漏洞 CVE-2011-3079 先前的修补程序在 IPC 端点与服务器父级之间添加 IPC 程序创建期间的通信验证。此验证对于启动 IPC 程序后才创建的通道并不充分，导致系统未将验证正确应用到之后的通道。这可能会造成沙盒经由 IPC 通道逃逸，这是因为侦听程序中缺乏消息验证所致。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18505) - Mozilla 开发人员、社区成员报告 Firefox 63 和 Firefox ESR 60.3 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-12405) - 删除选取元素后可能会产生释放后使用漏洞，这是因为选项集合中对选取元素的引用太弱所致。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18492) - 利用硬件加速画布 2D 动作进行缓冲区偏移计算时，Skia 库中会发生缓冲区溢出情况，这是因为使用 32 位算法而非 64 位算法所致。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18493) - 使用 Javascript 位置属性时，同源策略违规会造成跨源 URL 条目遭窃，进而导致重定向到使用 performance.getEntries() 的其他站点。这是同源策略违规，可能导致数据遭窃。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18494) - 若使用原始值而非检查值，则在对图像进行缓冲区大小计算时，可能存在可导致整数溢出的漏洞。此漏洞可导致越界写入。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18498) - 在 70.0.3538.67 之前的 Google Chrome 的 Angle 中的错误纹理处理，允许远程攻击者通过构建的 HTML 页面执行越界内存写入。(CVE-2018-17466) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

运行版本 MAIN 4.06 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 thunderbird 程序包：- libical 1.0 允许远程攻击者通过构建的 ics 文件造成拒绝服务（释放后使用）。(CVE-2016-5824) - 配合自定义 HTML 元素分析 HTML5 流时，出现释放后使用漏洞。这造成流分析器对象在使用状态下被释放，进而导致可能遭到利用的崩溃。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18500) - Mozilla 开发人员、社区成员报告 Firefox 64 和 Firefox ESR 60.4 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18501) - 进程间通信 (IPC) 漏洞 CVE-2011-3079 先前的修补程序在 IPC 端点与服务器父级之间添加 IPC 程序创建期间的通信验证。此验证对于启动 IPC 程序后才创建的通道并不充分，导致系统未将验证正确应用到之后的通道。这可能会造成沙盒经由 IPC 通道逃逸，这是因为侦听程序中缺乏消息验证所致。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18505) - Mozilla 开发人员、社区成员报告 Firefox 63 和 Firefox ESR 60.3 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-12405) - 删除选取元素后可能会产生释放后使用漏洞，这是因为选项集合中对选取元素的引用太弱所致。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18492) - 利用硬件加速画布 2D 动作进行缓冲区偏移计算时，Skia 库中会发生缓冲区溢出情况，这是因为使用 32 位算法而非 64 位算法所致。这会导致潜在可利用的崩溃。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18493) - 使用 Javascript 位置属性时，同源策略违规会造成跨源 URL 条目遭窃，进而导致重定向到使用 performance.getEntries() 的其他站点。这是同源策略违规，可能导致数据遭窃。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18494) - 若使用原始值而非检查值，则在对图像进行缓冲区大小计算时，可能存在可导致整数溢出的漏洞。此漏洞可导致越界写入。此漏洞会影响 Thunderbird < 60.4、Firefox ESR < 60.4 和 Firefox < 64。(CVE-2018-18498) - 在 70.0.3538.67 之前的 Google Chrome 的 Angle 中的错误纹理处理，允许远程攻击者通过构建的 HTML 页面执行越界内存写入。(CVE-2018-17466) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

此更新将 Thunderbird 升级到版本 60.5.0。安全修复：- Mozilla：分析 HTML5 流时的释放后使用 (CVE-2018-18500) - Mozilla：Firefox 65 和 Firefox ESR 60.5 中的内存安全缺陷已修复 (CVE-2018-18501) - Mozilla：通过 IPC 通道消息引起权限提升 (CVE-2018-18505) - libical：多个释放后使用漏洞 (CVE-2016-5824)

已发现 libical iCalendar 库中存在一个释放后使用漏洞。远程攻击者可通过特制的 .ICS 文件造成拒绝服务或者可能读取堆内存。对于 Debian 7“Wheezy”，此问题已在 libical 版本 0.48-2+deb7u1 中修复。建议您升级 libical 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

来自 Red Hat 安全公告 2019:0270： thunderbird 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Thunderbird 是独立的邮件和新闻组客户端。 此更新将 Thunderbird 升级到版本 60.5.0。 安全补丁： * Mozilla：解析 HTML5 流存在释放后使用 (CVE-2018-18500) * Mozilla：在 Firefox 65 和 Firefox ESR 60.5 中修复了内存安全缺陷 (CVE-2018-18501) * Mozilla：通过 IPC 通道消息升级权限 (CVE-2018-18505) * libical：多个释放后使用漏洞 (CVE-2016-5824) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis。

远程主机受到 GLSA-201904-07 中所述漏洞的影响（Mozilla Thunderbird 和 Firefox：多个漏洞）在 Mozilla Thunderbird 与 Firefox 中发现多个漏洞。如需详细信息，请查看以下供参考的 Mozilla 基础安全公告和 CVE 标识符。影响：如需详细信息，请查看以下供参考的 Mozilla 基础安全公告和 CVE 标识符。解决方法：目前无任何已知的解决方法。

thunderbird 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.5.0。安全修复：* Mozilla：分析 HTML5 流时的释放后使用 (CVE-2018-18500) * Mozilla：Firefox 65 和 Firefox ESR 60.5 中的内存安全缺陷已修复 (CVE-2018-18501) * Mozilla：通过 IPC 通道消息引起权限提升 (CVE-2018-18505) * libical：多个释放后使用漏洞 (CVE-2016-5824) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis。

远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 60.5。因此，如公告 mfsa2019-03 所述，受到多个漏洞的影响。- 使用自定义 HTML 元素分析 HTML5 流时，出现释放后使用漏洞。这造成流分析器对象在使用状态下被释放，进而导致可能遭到利用的崩溃。(CVE-2018-18500) - 进程间通信 (IPC) 漏洞 CVE-2011-3079 先前的修补程序在 IPC 端点与服务器父级之间添加 IPC 程序创建期间的通信验证。此验证对于启动 IPC 程序后才创建的通道并不充分，导致系统未将验证正确应用到之后的通道。这可能会造成沙盒经由 IPC 通道逃逸，这是因为侦听程序中缺乏消息验证所致。(CVE-2018-18505) - Thunderbird 所使用的 Libical 库中有个漏洞，远程攻击者可由此通过特制的 ICS 日历文件造成拒绝服务（释放后使用）。(CVE-2016-5824) - Mozilla 开发人员和社区成员 Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong 及 Christian Holler 报告 Firefox 64、Firefox ESR 60.4 和 Thunderbird 60.4 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。(CVE-2018-18501) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

远程主机受到 GLSA-201904-02 中所述漏洞的影响（Libical：多个漏洞）在 Libical 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：如需详细信息，请查看供参考的 CVE 标识符。解决方法：目前无任何已知的解决方法。

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 thunderbird 程序包：- libical 1.0 允许远程攻击者通过构建的 ics 文件造成拒绝服务（释放后使用）。(CVE-2016-5824) - 配合自定义 HTML 元素分析 HTML5 流时，出现释放后使用漏洞。这造成流分析器对象在使用状态下被释放，进而导致可能遭到利用的崩溃。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18500) - Mozilla 开发人员、社区成员报告 Firefox 64 和 Firefox ESR 60.4 中存在内存安全错误。有迹象表明其中某些错误可导致内存损坏，我们推测若攻击者有意操控，就能利用其中部分错误来运行任意代码。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18501) - 进程间通信 (IPC) 漏洞 CVE-2011-3079 先前的修补程序在 IPC 端点与服务器父级之间添加 IPC 程序创建期间的通信验证。此验证对于启动 IPC 程序后才创建的通道并不充分，导致系统未将验证正确应用到之后的通道。这可能会造成沙盒经由 IPC 通道逃逸，这是因为侦听程序中缺乏消息验证所致。此漏洞会影响 Thunderbird < 60.5、Firefox ESR < 60.5 和 Firefox < 65。(CVE-2018-18505) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

来自 Red Hat 安全公告 2019:0269： thunderbird 更新现可用于 Red Hat Enterprise Linux 6。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mozilla Thunderbird 是独立的邮件和新闻组客户端。 此更新将 Thunderbird 升级到版本 60.5.0。 安全补丁： * Mozilla：解析 HTML5 流存在释放后使用 (CVE-2018-18500) * Mozilla：在 Firefox 65 和 Firefox ESR 60.5 中修复了内存安全缺陷 (CVE-2018-18501) * Mozilla：通过 IPC 通道消息升级权限 (CVE-2018-18505) * libical：多个释放后使用漏洞 (CVE-2016-5824) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。 Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis。

thunderbird 的更新现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mozilla Thunderbird 是独立的邮件和新闻组客户端。此更新将 Thunderbird 升级到版本 60.5.0。安全修复：* Mozilla：分析 HTML5 流时的释放后使用 (CVE-2018-18500) * Mozilla：Firefox 65 和 Firefox ESR 60.5 中的内存安全缺陷已修复 (CVE-2018-18501) * Mozilla：通过 IPC 通道消息引起权限提升 (CVE-2018-18505) * libical：多个释放后使用漏洞 (CVE-2016-5824) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢原始报告者 Yaniv Frank (SophosLabs)、Alex Gaynor、Christoph Diehl、Steven Crane、Jason Kratzer、Gary Kwong、Christian Holler 及 Jed Davis。

在 libical 中发现释放后使用漏洞。如果用户受到诱骗打开特别构建的 ICS 日历文件，攻击者可能利用此问题造成拒绝服务。(CVE-2016-5824)

在 Thunderbird 中发现多个安全问题。如果用户受到诱骗打开特别构建的消息，攻击者可能利用这些问题造成拒绝服务，或执行任意代码。(CVE-2018-18356, CVE-2018-18500, CVE-2019-5785)

在 Thunderbird 中发现多个安全问题。如果用户受到诱骗打开特制的网站，攻击者可能利用这些问题造成拒绝服务、通过避开沙盒获取其他权限或执行任意代码。(CVE-2018-18501, CVE-2018-18505)

发现 S/MIME 签名验证在某些情况下存在问题。攻击者可能通过伪造任意内容的签名来利用此问题。(CVE-2018-18509)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
122064	CentOS 6：thunderbird (CESA-2019:0269)	Nessus	CentOS Local Security Checks	2019/2/11	2021/2/10	critical
121600	Mozilla Thunderbird < 60.5	Nessus	Windows	2019/2/5	2022/5/24	critical
127238	NewStart CGSL CORE 5.04 / MAIN 5.04：thunderbird 多个漏洞 (NS-SA-2019-0052)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/29	critical
127315	NewStart CGSL MAIN 4.06：thunderbird 多个漏洞 (NS-SA-2019-0093)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/29	critical
121631	Scientific Linux 安全更新：SL7.x x86_64 中的 thunderbird	Nessus	Scientific Linux Local Security Checks	2019/2/7	2021/3/1	critical
100479	Debian DLA-959-1：libical 安全更新	Nessus	Debian Local Security Checks	2017/5/30	2021/1/11	critical
121584	Oracle Linux 7 : thunderbird (ELSA-2019-0270)	Nessus	Oracle Linux Local Security Checks	2019/2/5	2021/2/10	critical
121607	Scientific Linux 安全更新：SL6.x i386/x86_64 中的 thunderbird	Nessus	Scientific Linux Local Security Checks	2019/2/6	2021/3/1	critical
123581	GLSA-201904-07：Mozilla Thunderbird 与 Firefox：多个漏洞	Nessus	Gentoo Local Security Checks	2019/4/2	2022/5/23	critical
121586	RHEL 7 : thunderbird (RHSA-2019:0270)	Nessus	Red Hat Local Security Checks	2019/2/5	2024/4/27	critical
121599	Mozilla Thunderbird < 60.5	Nessus	MacOS X Local Security Checks	2019/2/5	2022/5/24	critical
123576	GLSA-201904-02：Libical：多个漏洞	Nessus	Gentoo Local Security Checks	2019/4/2	2020/1/27	medium
127434	NewStart CGSL MAIN 4.05：thunderbird 多个漏洞 (NS-SA-2019-0156)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/29	critical
121583	Oracle Linux 6 : thunderbird (ELSA-2019-0269)	Nessus	Oracle Linux Local Security Checks	2019/2/5	2021/2/10	critical
121585	RHEL 6：thunderbird (RHSA-2019:0269)	Nessus	Red Hat Local Security Checks	2019/2/5	2022/1/28	critical
122065	CentOS 7 : thunderbird (CESA-2019:0270)	Nessus	CentOS Local Security Checks	2019/2/11	2021/2/10	critical
122482	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Thunderbird 漏洞 (USN-3897-1)	Nessus	Ubuntu Local Security Checks	2019/2/27	2023/10/20	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

medium

critical

critical

critical

critical

critical