Amazon Linux 2：thunderbird (ALAS-2022-1828)

critical Nessus 插件 ID 163319

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 thunderbird 版本低于 91.11.0-2。因此，它受到 ALAS2-2022-1828 公告中提及的多个漏洞影响。

2024-07-03：已将 CVE-2022-29914 添加到此公告中。

2024-07-03：已将 CVE-2022-29917 添加到此公告中。

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：当显示电子邮件的发件人，并且发件人名称多次包含盲文模式空格字符时，Thunderbird 会显示所有空格。攻击者可利用此缺陷发送带有攻击者数字签名的电子邮件消息，其中显示的是攻击者挑选的任意发件人电子邮件地址。
如果发件人名称以虚假的电子邮件地址开头，后跟许多盲文空格字符，则攻击者的电子邮件地址不可见。Thunderbird 会将不可见的发件人地址与签名的电子邮件地址进行比较，因此如果 Thunderbird 接受了签名密钥或证书，则电子邮件会显示为具有有效的数字签名。(CVE-2022-1834)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：OpenPGP 数字签名包含有关签名创建日期的信息。显示包含数字签名的电子邮件时，将显示该电子邮件的日期。如果日期不同，Thunderbird 不会将该电子邮件报告为具有无效签名。如果攻击者执行了重放攻击，其中系统会稍后展示包含旧内容的旧电子邮件，则可能导致受害者认为该电子邮件中的内容是最新的。Thunderbird 的修复版本将要求签名的日期与电子邮件显示的日期大致匹配。 (CVE-2022-2226)

当重复使用现有的弹出窗口时，Firefox 将允许其覆盖全屏通知 UI，从而有可能启动浏览器欺骗攻击。此漏洞会影响 Thunderbird < 91.9、Firefox ESR < 91.9 和 Firefox < 100。(CVE-2022-29914)

Mozilla 开发人员 Andrew McCreight、Gabriele Svelto、Tom Ritter 以及 Mozilla Fuzzing 团队报告 Firefox 99 与 Firefox ESR 91.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 91.9、Firefox ESR < 91.9 和 Firefox < 100。
(CVE-2022-29917)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：恶意网站可能已获知支持 Range 请求的跨源资源的大小。
(CVE-2022-31736)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：恶意网页可能在 WebGL 中触发释放后使用，从而导致内存损坏和潜在可利用的崩溃。(CVE-2022-31737)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：退出全屏模式时，iframe 可使浏览器对全屏的当前状态产生混淆，从而可能导致用户混淆或欺骗攻击。(CVE-2022-31738)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：在 arm64 上，WASM 代码可能生成不正确的程序集，从而导致寄存器分配问题和可能遭到利用的崩溃。(CVE-2022-31740)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：可能未正确处理构建的 CMS 消息，从而导致无效的内存读取，并可能造成内存损坏。(CVE-2022-31741)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：攻击者可通过发送大量 allowCredential 条目并检测无效密钥句柄与跨源密钥句柄之间的差异来利用时序攻击。这可能导致违反 WebAuthn 目标的跨源帐户链接行为。(CVE-2022-31742)

在 Mozilla 中发现一个缺陷。Mozilla 基金会安全公告将此问题描述为：Mozilla 开发人员和社区成员报告 Firefox 100 和 Firefox ESR 91.0 中存在内存安全缺陷问题。
其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。(CVE-2022-31747)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。