远程主机上安装的 thunderbird 版本低于 68.9.0-1。因此，该软件受到 ALAS2-2020-1468 公告中提及的多个漏洞影响。

    Mozilla 基金会安全公告将此缺陷描述为：

    若配置 Thunderbird 为 IMAP 服务器使用 STARTTLS，且服务器发送 PREAUTH 响应，则 Thunderbird 将继续使用未加密的连接，导致电子邮件数据在不受保护的情况下发送。 (CVE-2020-12398)

    Mozilla 基金会安全公告将此缺陷描述为：

    浏览恶意页面时，SharedWorkerService 中可能发生争用条件，进而导致可能遭到利用的崩溃。 (CVE-2020-12405)

    Mozilla 基金会安全公告将此缺陷描述为：

    Mozilla 开发人员 Iain Ireland 发现，在删除未装箱对象时缺少类型检查，可导致崩溃。我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。
    (CVE-2020-12406)

    Mozilla 基金会安全公告将此缺陷描述为：

    Mozilla 开发人员报告 Firefox 76 和 Firefox ESR 68.8 中存在内存安全缺陷。其中某些错误展示出内存损坏迹象，我们推测若攻击者付出足够努力，就能利用部分错误运行任意代码。(CVE-2020-12410)

    Mozilla 基金会安全公告将此缺陷描述为：

    由于混淆 JavaScript 对象上的 ValueTag，对象可能会穿过类型屏障，从而导致内存损坏和潜在可利用的崩溃。 (CVE-2020-12417)

    Mozilla 基金会安全公告将此缺陷描述为：

    操控 URL 对象个别部分可造成越界读取，进而将进程内存泄露给恶意 JavaScript。 (CVE-2020-12418)

    Mozilla 基金会安全公告将此缺陷描述为：

    处理在父进程的窗口刷新期间发生的回调时，相关窗口可能会消失；导致发生释放后使用情况。这可能导致内存损坏和潜在的可利用崩溃。(CVE-2020-12419)

    Mozilla 基金会安全公告将此缺陷描述为：

    尝试连接到 STUN 服务器时，争用条件可能导致指针释放后使用，从而导致内存损坏和潜在可利用的崩溃。 (CVE-2020-12420)

    Mozilla 基金会安全公告将此缺陷描述为：

    执行附加组件更新时，拒绝在非内置根证书中终止的证书链（即使它们是由管理员合法添加）。这可能导致附加组件在没有通知 的情况下静默地过时。用户。 (CVE-2020-12421)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

来自 Red Hat 安全公告 2020:3038：

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 3038 公告中提及的多个漏洞的影响。

  - Mozilla：ARM64 上缺少 ValueTags 的符号扩展而导致的内存损坏 (CVE-2020-12417)

  - Mozilla：受操纵 URL 对象导致的信息泄露 (CVE-2020-12418)

  - Mozilla：nsGlobalWindowInner 中存在释放后使用 (CVE-2020-12419)

  - Mozilla：尝试连接到 STUN 服务器时发生释放后使用 (CVE-2020-12420)

  - Mozilla：附加组件更新未遵守与软件更新相同的证书信任规则 (CVE-2020-12421)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

运行 CORE 5.04 / MAIN 5.04 版本的远程 NewStart CGSL 主机上安装的 thunderbird 程序包受到多个漏洞的影响：

  - Mozilla 开发人员报告 Firefox 76 和 Firefox ESR 68.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 68.9.0、Firefox < 77 和 Firefox ESR < 68.9。(CVE-2020-12410)

  - Mozilla 开发人员 Iain Ireland 发现删除未装箱对象的过程中缺少类型检查，该问题可导致崩溃。我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 68.9.0、Firefox < 77 和 Firefox ESR < 68.9。(CVE-2020-12406)

  - 浏览恶意页面时，SharedWorkerService 中可能会出现争用条件，从而可能造成可被利用的崩溃问题。此漏洞会影响 Thunderbird < 68.9.0、Firefox < 77 和 Firefox ESR < 68.9。(CVE-2020-12405)

  - 如果 Thunderbird 配置为对 IMAP 服务器使用 STARTTLS，且该服务器发送 PREAUTH 响应，则 Thunderbird 将继续使用未加密的连接，从而导致在未提供保护的情况下发送电子邮件数据。此漏洞影响 Thunderbird < 68.9.0。(CVE-2020-12398)

  - 由于对 JavaScript 对象上的 ValueTag 感到困惑，对象可能会通过类型屏障，从而导致内存损坏和潜在可利用的崩溃。*注意：此问题仅影响 ARM64 平台上的 Firefox。* 此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12417)

  - 操纵 URL 对象的个别部分可能造成越界读取，从而将进程内存泄漏给恶意 JavaScript。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12418)

  - 处理在父进程窗口刷新期间发生的回调时，相关窗口可能会终止；导致释放后使用条件。这可能导致内存损坏和潜在的可利用崩溃。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12419)

  - 尝试连接到 STUN 服务器时，争用条件可能导致指针的释放后使用，从而导致内存损坏和潜在可利用的崩溃。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12420)

  - 执行附加组件更新时，以非内建 root 终止的证书链会被拒绝（即使由管理员合法添加）。这可导致附加组件在未通知用户的情况下静默过期。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12421)

  - 如果攻击者拦截 Thunderbird 使用 Microsoft Exchange 自动发现机制执行自动帐户设置的初步尝试，并且攻击者发送特制的响应，则 Thunderbird 会通过 https 将用户名和密码发送到由攻击者控制的服务器。此漏洞影响 Thunderbird < 68.10.0。(CVE-2020-15646)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
138857	Amazon Linux 2：thunderbird (ALAS-2020-1468)	Nessus	Amazon Linux Local Security Checks	2020/7/23	2025/4/11	high
138976	Oracle Linux 8：thunderbird (ELSA-2020-3038)	Nessus	Oracle Linux Local Security Checks	2020/7/27	2024/10/22	high
144001	NewStart CGSL CORE 5.04 / MAIN 5.04：thunderbird 多个漏洞 (NS-SA-2020-0083)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2024/2/2	high

检测

插件搜索

high

high

high