远程 AlmaLinux 8 主机上安装的一个程序包受到 ALSA-2022:1730 公告中提及的多个漏洞的影响。

  - Mozilla 开发人员 Andrew McCreight、Gabriele Svelto、Tom Ritter 以及 Mozilla Fuzzing 团队报告 Firefox 99 与 Firefox ESR 91.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 91.9、Firefox ESR < 91.9 和 Firefox < 100。
    (CVE-2022-29917)

  - 查看包含附加消息 B（已加密或已数字签名或两者兼有）的电子邮件消息 A 时，Thunderbird 可能显示不正确的加密或签名状态。打开并查看附加的消息 B 后，当返回到消息 A 的显示界面时，消息 A 可能会以消息 B 的安全状态显示。此漏洞会影响 91.9 版本之前的 Thunderbird。(CVE-2022-1520)

  - 深度嵌套的跨源浏览上下文中的文档可能会获取授予顶级源的权限，从而绕过现有提示并错误地继承顶级权限。此漏洞会影响 Thunderbird < 91.9、Firefox ESR < 91.9 和 Firefox < 100。(CVE-2022-29909)

  - 新的 iframe 沙盒关键字 <code>allow-top-navigation-by-user-activation</code> 由于实现不当，可导致脚本在没有 <code>allow-scripts</code> 的情况下执行。此漏洞会影响 Thunderbird < 91.9、Firefox ESR < 91.9 和 Firefox < 100。(CVE-2022-29911)

  - 通过阅读器模式发起的请求未正确忽略具有 SameSite 属性的 Cookie。此漏洞会影响 Thunderbird < 91.9、Firefox ESR < 91.9 和 Firefox < 100。(CVE-2022-29912)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

AlmaLinux 8：thunderbird (ALSA-2022:1730)

critical Nessus 插件 ID 161109

版本 1.6