远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 3341 公告中提及的多个漏洞的影响。

  - Mozilla：在工作线程中加载脚本时可能发生重定向目标泄露 (CVE-2020-15652)

  - Mozilla：已修复 Firefox 79 和 Firefox ESR 68.11 中存在的内存安全错误 (CVE-2020-15659)

  - chromium-browser：ANGLE 中存在释放后使用 (CVE-2020-6463)

  - chromium-browser：WebRTC 中存在不当实现 (CVE-2020-6514)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

运行 CORE 5.05 / MAIN 5.05 版本的远程 NewStart CGSL 主机上安装的 thunderbird 程序包受到多个漏洞的影响：

  - 如果 Thunderbird 配置为对 IMAP 服务器使用 STARTTLS，且该服务器发送 PREAUTH 响应，则 Thunderbird 将继续使用未加密的连接，从而导致在未提供保护的情况下发送电子邮件数据。此漏洞影响 Thunderbird < 68.9.0。(CVE-2020-12398)

  - 浏览恶意页面时，SharedWorkerService 中可能会出现争用条件，从而可能造成可被利用的崩溃问题。此漏洞会影响 Thunderbird < 68.9.0、Firefox < 77 和 Firefox ESR < 68.9。(CVE-2020-12405)

  - Mozilla 开发人员 Iain Ireland 发现删除未装箱对象的过程中缺少类型检查，该问题可导致崩溃。我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 68.9.0、Firefox < 77 和 Firefox ESR < 68.9。(CVE-2020-12406)

  - Mozilla 开发人员报告 Firefox 76 和 Firefox ESR 68.8 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Thunderbird < 68.9.0、Firefox < 77 和 Firefox ESR < 68.9。(CVE-2020-12410)

  - 由于对 JavaScript 对象上的 ValueTag 感到困惑，对象可能会通过类型屏障，从而导致内存损坏和潜在可利用的崩溃。*注意：此问题仅影响 ARM64 平台上的 Firefox。* 此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12417)

  - 操纵 URL 对象的个别部分可能造成越界读取，从而将进程内存泄漏给恶意 JavaScript。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12418)

  - 处理在父进程窗口刷新期间发生的回调时，相关窗口可能会终止；导致释放后使用条件。这可能导致内存损坏和潜在的可利用崩溃。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12419)

  - 尝试连接到 STUN 服务器时，争用条件可能导致指针的释放后使用，从而导致内存损坏和潜在可利用的崩溃。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12420)

  - 执行附加组件更新时，以非内建 root 终止的证书链会被拒绝（即使由管理员合法添加）。这可导致附加组件在未通知用户的情况下静默过期。此漏洞会影响 Firefox ESR < 68.10、Firefox < 78 和 Thunderbird < 68.10.0。(CVE-2020-12421)

  - 如果攻击者拦截 Thunderbird 使用 Microsoft Exchange 自动发现机制执行自动帐户设置的初步尝试，并且攻击者发送特制的响应，则 Thunderbird 会通过 https 将用户名和密码发送到由攻击者控制的服务器。此漏洞影响 Thunderbird < 68.10.0。(CVE-2020-15646)

  - 通过观察 Web 辅助进程中 JavaScript 错误的堆栈跟踪，可泄漏跨域重定向的结果。这仅适用于可被解析为脚本的内容。此漏洞会影响 Firefox < 79、Firefox ESR < 68.11、Firefox ESR < 78.1、Thunderbird < 68.11 和 Thunderbird < 78.1。(CVE-2020-15652)

  - Mozilla 开发人员和社区成员报告 Firefox 78 与 Firefox ESR 78.0 中存在内存安全错误。其中某些错误展示出内存损坏迹象，我们推测如果攻击者进行足够的尝试，则可以利用此漏洞运行任意代码。此漏洞会影响 Firefox < 79、Firefox ESR < 68.11、Firefox ESR < 78.1、Thunderbird < 68.11 和 Thunderbird < 78.1。(CVE-2020-15659)

  - 在 Google Chrome 81.0.4044.122 之前的版本中，ANGLE 中存在释放后使用漏洞，使远程攻击者有可能通过构建的 HTML 页面来利用堆损坏。(CVE-2020-6463)

  - 在 Google Chrome 84.0.4147.89 之前的版本中，WebRTC 中存在不当实现，使位于特权网络位置的攻击者有可能通过构建的 SCTP 流利用堆损坏。
    (CVE-2020-6514)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

在 Firefox 中发现多个安全问题。如果用户受到诱骗打开特别构建的网站，攻击者可能利用这些问题造成拒绝服务、获取敏感信息、绕过 iframe sandbox 限制、迷惑用户或执行任意代码。（CVE-2020-6463、CVE-2020-6514、CVE-2020-15652、CVE-2020-15653、CVE-2020-15654、CVE-2020-15656、CVE-2020-15658、CVE-2020-15659）如果用户受到诱骗而安装特制扩展，则攻击者可能利用此问题获取跨来源的敏感信息。(CVE-2020-15655)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
145868	CentOS 8：thunderbird (CESA-2020: 3341)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	high
154550	NewStart CGSL CORE 5.05 / MAIN 5.05 : thunderbird 多个漏洞 (NS-SA-2021-0140)	Nessus	NewStart CGSL Local Security Checks	2021/10/27	2023/11/27	high
139182	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Firefox 漏洞 (USN-4443-1)	Nessus	Ubuntu Local Security Checks	2020/7/30	2023/10/20	high

检测

插件搜索

high

high

high