Mozilla Thunderbird < 115.8

high Nessus 插件 ID 190803

简介

远程 Windows 主机上安装的邮件客户端受到多个漏洞的影响。

描述

远程 Windows 主机上安装的 Thunderbird 版本低于 115.8。因此,受到 mfsa2024-07 公告中提及的多个漏洞影响。

- 当在网络通道上存储和重新访问数据时,缓冲区长度可能受到混淆,进而导致越界内存读取攻击。(CVE-2024-1546)

- 通过一系列 API 调用和重定向,由攻击者控制的警报对话框可能会在其他网站上显示(显示受害者网站的 URL)。(CVE-2024-1547)

- 网站可通过使用下拉选择输入元素掩盖全屏通知。这有可能导致用户混淆或出现潜在的欺骗攻击。(CVE-2024-1548)

- 如果网站设置了大型自定义光标,则光标的部分内容可能与权限对话框重叠,从而可能导致用户混淆和意外授予权限。(CVE-2024-1549)

- 恶意网站可结合使用退出全屏模式和 <code>requestPointerLock</code> ,造成用户鼠标意外重新定位,进而导致用户混淆,并无意中授予不该授予的权限。
(CVE-2024-1550)

- 多部分 HTTP 响应中未正确遵循 Set-Cookie 响应标头。如果攻击者可以控制 Content-Type 响应标头以及部分响应正文,则可注入浏览器遵循的 Set-Cookie 响应标头。(CVE-2024-1551)

- 错误代码生成可导致意外数值转换和潜在的未定义行为。注意:此问题仅影响 32-bit ARM 设备。(CVE-2024-1552)

- 在 Firefox 122、Firefox ESR 115.7 和 Thunderbird 115.7 中修复了内存安全缺陷。其中某些错误展示出内存损坏迹象,我们推测若攻击者付出足够努力,就能利用部分错误运行任意代码。(CVE-2024-1553)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级至 Mozilla Thunderbird 115.8 或更高版本。

另见

https://www.mozilla.org/en-US/security/advisories/mfsa2024-07/

插件详情

严重性: High

ID: 190803

文件名: mozilla_thunderbird_115_8.nasl

版本: 1.3

类型: local

代理: windows

系列: Windows

发布时间: 2024/2/20

最近更新时间: 2024/8/26

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2024-1553

CVSS v3

风险因素: High

基本分数: 8.1

时间分数: 7.1

矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:mozilla:thunderbird

必需的 KB 项: Mozilla/Thunderbird/Version

易利用性: No known exploits are available

补丁发布日期: 2024/2/20

漏洞发布日期: 2024/2/20

参考资料信息

CVE: CVE-2024-1546, CVE-2024-1547, CVE-2024-1548, CVE-2024-1549, CVE-2024-1550, CVE-2024-1551, CVE-2024-1552, CVE-2024-1553