远程 Redhat Enterprise Linux 5/6 主机上安装的程序包受到 RHSA-2012:0715 公告中提及的多个漏洞影响。

    Mozilla Thunderbird 是独立的邮件和新闻组客户端。

    在对畸形内容的处理中发现多个缺陷。恶意内容可导致 Thunderbird 崩溃，或者可能以运行 Thunderbird 的用户的权限执行任意代码。（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947）

    注意：CVE-2011-3101 仅影响启用了硬件加速的显卡的特定 NVIDIA 显示驱动程序的用户。

    已发现 Thunderbird 中的内容安全策略 (CSP) 实现不再阻止 Thunderbird 内联事件处理程序。恶意内容可能可以绕过预期限制，前提是该内容依赖 CSP 防范跨站脚本 (XSS) 等缺陷。
    (CVE-2012-1944)

    如果 Web 服务器托管的内容文件存储在 Microsoft Windows 共享或 Samba 共享中，使用 Thunderbird 加载此类内容可能导致一并加载同一共享中的 Windows 快捷方式文件 (.lnk)。攻击者可利用此缺陷查看受害者系统上的本地文件和目录的内容。此问题还影响打开其系统上挂载的 Microsoft Windows 共享或 Samba 共享中的内容的用户。(CVE-2012-1945)

    Red Hat 在此感谢 Mozilla 项目报告这些问题。
    上游感谢 CVE-2011-3101 的原始报告者 Google 的 Ken Russell，感谢 CVE-2012-1937 的原始报告者 Igor Bukanov、Olli Pettay、Boris Zbarsky 和 Jesse Ruderman，感谢 CVE-2012-1938 的原始报告者 Jesse Ruderman、Igor Bukanov、Bill McCloskey、Christian Holler、Andrew McCreight 和 Brian Bondy，感谢 CVE-2012-1939 的原始报告者 Christian Holler，感谢 CVE-2012-1940、CVE-2012-1941 和 CVE-2012-1947
    的原始报告者 Abhishek Arya（Google 的安全研究人员），感谢 CVE-2012-1946 的原始报告者 Arthur Gerkis（安全研究人员），感谢 CVE-2012-1944 的原始报告者 Adam Barth（安全研究人员），以及 CVE-2012-1945 的原始报告者 Paul Stone（安全研究人员）。

    注意：此公告中的所有问题都无法被特别构建的 HTML 邮件消息利用，因为在默认情况下，邮件消息禁用 JavaScript。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的完整远程内容时。

    所有 Thunderbird 用户应升级此更新后的程序包，其中包含已修正了这些问题的 Thunderbird 版本 10.0.5 ESR。安装更新后，必须重新启动 Thunderbird 才能使更改生效。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

更新后的 thunderbird 程序包修复了多种安全问题，现在可用于 Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Thunderbird 是独立的邮件和新闻组客户端。

在对畸形内容的处理中发现多个缺陷。
恶意内容可导致 Thunderbird 崩溃，或可能以运行 Thunderbird 的用户的权限执行任意代码。（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947）

注意：CVE-2011-3101 仅影响启用了硬件加速的显卡的特定 NVIDIA 显示驱动程序的用户。

已发现 Thunderbird 中的内容安全策略 (CSP) 实现不再阻止 Thunderbird 内联事件处理程序。
恶意内容可能可以绕过预期限制，前提是该内容依赖 CSP 防范跨站脚本 (XSS) 等缺陷。(CVE-2012-1944)

如果 Web 服务器托管的内容文件存储在 Microsoft Windows 共享或 Samba 共享中，使用 Thunderbird 加载此类内容可能导致一并加载同一共享中的 Windows 快捷方式文件 (.lnk)。攻击者可利用此缺陷查看受害者系统上的本地文件和目录的内容。此问题还影响打开其系统上挂载的 Microsoft Windows 共享或 Samba 共享中的内容的用户。(CVE-2012-1945)

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢 CVE-2011-3101 的原始报告者 Google 的 Ken Russell，感谢 CVE-2012-1937 的原始报告者 Igor Bukanov、Olli Pettay、Boris Zbarsky 和 Jesse Ruderman，感谢 CVE-2012-1938 的原始报告者 Jesse Ruderman、Igor Bukanov、Bill McCloskey、Christian Holler、Andrew McCreight 和 Brian Bondy，感谢 CVE-2012-1939 的原始报告者 Christian Holler，感谢 CVE-2012-1940、CVE-2012-1941 和 CVE-2012-1947 的原始报告者 Abhishek Arya（Google 的安全研究人员），感谢 CVE-2012-1946 的原始报告者 Arthur Gerkis（安全研究人员），感谢 CVE-2012-1944 的原始报告者 Adam Barth（安全研究人员），以及 CVE-2012-1945 的原始报告者 Paul Stone（安全研究人员）。

注意：此公告中的所有问题都无法被特别构建的 HTML 邮件消息利用，因为在默认情况下，邮件消息禁用 JavaScript。在 Thunderbird 中可采用另一种方式利用这些问题，例如查看 RSS 源的完整远程内容时。

所有 Thunderbird 用户应升级此更新后的程序包，其中包含已修正了这些问题的 Thunderbird 版本 10.0.5 ESR。
安装更新后，必须重新启动 Thunderbird 才能使更改生效。

更新后的 firefox 程序包修复了多种安全问题，现在可用于Red Hat Enterprise Linux 5 和 6。

Red Hat 安全响应团队已将此更新评级为具有严重安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Mozilla Firefox 是一款开源 Web 浏览器。XULRunner 提供用于 Mozilla Firefox 的 XUL Runtime 环境。

在对畸形 Web 内容的处理中发现多个缺陷。包含恶意内容的网页可导致 Firefox 崩溃，或者可能以运行 Firefox 的用户的权限执行任意代码。（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947）

注意：CVE-2011-3101 仅影响启用了硬件加速的显卡的特定 NVIDIA 显示驱动程序的用户。

已发现 Firefox 中的内容安全策略 (CSP) 实现不再阻止 Firefox 内联事件处理程序。远程攻击者可利用此缺陷绕过 Web 应用程序的预期限制，前提是该应用程序依赖 CSP 防范跨站脚本 (XSS) 等缺陷。(CVE-2012-1944)

如果 Web 服务器托管的 HTML 文件存储在 Microsoft Windows 共享或 Samba 共享中，使用 Firefox 加载此类文件可导致一并加载同一共享中的 Windows 快捷方式文件 (.lnk)。攻击者可利用此缺陷查看受害者系统上的本地文件和目录的内容。此问题还影响打开其系统上挂载的 Microsoft Windows 共享或 Samba 共享中的 HTML 文件的用户。(CVE-2012-1945)

有关这些缺陷的技术详细信息，请参阅 Firefox 10.0.5 ESR 的 Mozilla 安全公告。在本勘误表的“参考”部分可以找到 Mozilla 公告的链接。

Red Hat 在此感谢 Mozilla 项目报告这些问题。上游感谢 CVE-2011-3101 的原始报告者 Google 的 Ken Russell，感谢 CVE-2012-1937 的原始报告者 Igor Bukanov、Olli Pettay、Boris Zbarsky 和 Jesse Ruderman，感谢 CVE-2012-1938 的原始报告者 Jesse Ruderman、Igor Bukanov、Bill McCloskey、Christian Holler、Andrew McCreight 和 Brian Bondy，感谢 CVE-2012-1939 的原始报告者 Christian Holler，感谢 CVE-2012-1940、CVE-2012-1941 和 CVE-2012-1947 的原始报告者 Abhishek Arya（Google 的安全研究人员），感谢 CVE-2012-1946 的原始报告者 Arthur Gerkis（安全研究人员），感谢 CVE-2012-1944 的原始报告者 Adam Barth（安全研究人员），以及 CVE-2012-1945 的原始报告者 Paul Stone（安全研究人员）。

所有 Firefox 用户应升级这些更新后的程序包，其中包含已修正了这些问题的 Firefox 版本 10.0.5 ESR。安装更新后，必须重新启动 Firefox 才能使更改生效。

远程 Redhat Enterprise Linux 5/6 主机上安装的程序包受到 RHSA-2012:0710 公告中提及的多个漏洞影响。

  - Mozilla：多项内存安全危害 (rv:13.0/rv:10.0.5) (MFSA 2012-34)（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-3105）

  - Mozilla：使用地址审查器时发现缓冲区溢出和释放后使用问题 (MFSA 2012-40)（CVE-2012-1940、CVE-2012-1941、CVE-2012-1947）

  - Mozilla：内容安全策略内联脚本绕过 (MFSA 2012-36) (CVE-2012-1944)

  - Mozilla：因 Windows 文件共享和快捷方式文件造成的信息泄露 (MFSA 2012-37) (CVE-2012-1945)

  - Mozilla：在文档中替换/插入节点时发生释放后使用 (MFSA 2012-38) (CVE-2012-1946)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
59392	RHEL 5/6：thunderbird (RHSA-2012:0715)	Nessus	Red Hat Local Security Checks	2012/6/7	2024/11/4	medium
59412	CentOS 5 / 6：thunderbird (CESA-2012:0715)	Nessus	CentOS Local Security Checks	2012/6/8	2021/1/4	critical
59388	CentOS 5 / 6：firefox (CESA-2012:0710)	Nessus	CentOS Local Security Checks	2012/6/7	2021/1/4	critical
59383	RHEL 5/6：firefox (RHSA-2012:0710)	Nessus	Red Hat Local Security Checks	2012/6/6	2024/4/21	medium

检测

插件搜索

medium

critical

critical

medium