远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 68.2。因此受到公告 mfsa2019-35 中提及的多个漏洞的影响。

  - Mozilla 开发人员和社区成员 Bob Clary、Jason Kratzer、Aaron Klotz、Iain Israel、Tyson Smith、Christian Holler、Steve Fink、Honza Bambas、Byron Campen 和 Cristian Brindusan 报告 Firefox 69 和 Firefox ESR 中存在内存安全错误 68.1。其中某些错误表现出内存损坏的迹象，我们推测若攻击者有意操控，就能利用其中某些漏洞运行任意代码。
    (CVE-2019-11764)

  - 在 2.2.8之前的 libexpat 中构造的 XML 输入可能欺骗解析器过早从 DTD 解析到文档解析。对 <code>XMLGetCurrentLineNumber</code> 或 <code>XMLGetCurrentColumnNumber</code> 的后续调用则导致基于堆的缓冲区过度读取。 (CVE-2019-15903)

  - 当遵照值的原型链时，可以保留引用到本地、将其删除及后续引用。这会导致释放后使用和可遭恶意利用的潜在崩溃。
    (CVE-2019-11757)

  - Mozilla 社区成员 Philipp 报告，安装 360 Total Security 后，Firefox 68 中存在内存安全错误。此缺陷显示了可访问性引擎中内存损坏的迹象我们推测若攻击者有意操控就能利用此缺陷运行任意代码。 (CVE-2019-11758)

  - 攻击者可造成超出堆栈存储的缓冲区的末尾写入 4 字节 HMAC 输出。攻击者可利用此漏洞，执行任意代码或造成崩溃。
    (CVE-2019-11759)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Mozilla Thunderbird < 68.2

high Nessus 插件 ID 130364

版本 1.6