Mozilla Thunderbird < 128.10.1
high Nessus 插件 ID 236404
语言：
简介
远程 Windows 主机上安装的邮件客户端受到多个漏洞的影响。描述
远程 Windows 主机上安装的 Thunderbird 版本低于 128.10.1。因此，受到 mfsa2025-34 公告中提及的多个漏洞影响。- 可构建以附件形式显示跟踪链接的电子邮件。如果用户尝试打开附件，Thunderbird 会自动访问该链接。阻止远程内容的配置无法阻止该情况。Thunderbird 已修复，不再允许访问电子邮件的 X-Mozilla-External-Attachment-URL 标头中列出的网页。(CVE-2025-3932)
- 如果服务器允许使用无效的发件人地址，Thunderbird 解析地址的方式可能会欺骗发件者。例如，如果 From 标头包含一个（无效）值 Spoofed Name <[email protected]> <[email protected]>，Thunderbird 会将 [email protected] 视为实际地址。(CVE-2025-3875)
- Thunderbird 对 X-Mozilla-External-Attachment-URL 标头的处理可被利用于在 file:/// 上下文中执行 JavaScript。通过特制嵌套的电子邮件附件 (message/rfc822) 并将其内容类型设置为 application/pdf，Thunderbird 可能会在打开时错误地将其渲染为 HTML，从而使嵌入式 JavaScript 在不下载文件的情况下运行。这种行为依赖于 Thunderbird 自动将附件保存到 /tmp，并通过 file:/// 协议链接到该附件，从而可能使 JavaScript 作为 HTML 的一部分执行。(CVE-2025-3909)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级至 Mozilla Thunderbird 128.10.1 或更高版本。另见
https://www.mozilla.org/en-US/security/advisories/mfsa2025-34/
插件详情
严重性: High
ID: 236404
文件名: mozilla_thunderbird_128_10_1.nasl
版本: 1.4
类型: local
代理: windows
系列: Windows
发布时间: 2025/5/14
最近更新时间: 2025/6/10
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 分数来源: CVE-2025-3932
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2025-3875
漏洞信息
CPE: cpe:/a:mozilla:thunderbird
必需的 KB 项: Mozilla/Thunderbird/Version
易利用性: No known exploits are available
补丁发布日期: 2025/5/13
漏洞发布日期: 2025/5/14
参考资料信息
CVE: CVE-2025-3875, CVE-2025-3909, CVE-2025-3932
IAVA: 2025-A-0357-S