Amazon Linux 2: thunderbird (ALAS-2025-2830)

medium Nessus 插件 ID 234510

语言：

简介

远程 Amazon Linux 2 主机缺少安全更新。

描述

远程主机上安装的 thunderbird 版本低于 128.8.1-1。因此，该软件受到 ALAS2-2025-2830 公告中提及的多个漏洞影响。

提交 9cc451b91b74ba470fd72bd48c121e9f33d24c99 之前的 LibJXL 版本中存在越界读取/写入错误。执行 JPEG 再压缩时 (例如对不受信任的输入使用 JxlEncoderAddJPEGFrame 的情形)，JPEG XL 编码器所使用的 JPEG 解码器未能在存在不完整代码时正确检查边界。这可能会导致越界写入情况。作为同一个项目的内容发布的 jpegli 中存在相同漏洞。然而，相关缓冲区属于更大结构的一部分，且代码并未假设可能被覆盖的值。但此问题可能会导致 jpegli 读取未初始化的内存或函数地址。(CVE-2024-11403)

在低于 2.6.4 的 libexpat 中发现一个问题。XML_ResumeParser 函数中发生崩溃，因为 XML_StopParser 可停止/暂停未启动的解析器。(CVE-2024-50602)

在 Theora 1.0 7180717 以及之前所有版本中，libtheora 的 huffdec.c 中的 oc_huff_tree_unpack 存在无效的负向左移操作。(CVE-2024-56431)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。