Firefox バージョン 10.0.x がインストールされている場合、次のセキュリティの問題による影響を受けます。

  - 長さがゼロの項目を処理する際に、ASN.1デコーダーにエラーが存在するため、アプリケーションのクラッシュを引き起こす可能性があります。
    (CVE-2012-0441)

  複数のメモリの破損に関するエラーが存在します。（CVE-2012-1937、CVE-2012-1939）

  2つのヒープベースのバッファオーバーフローと1つのヒープベースのuse-after-freeエラーがあり、悪用される可能性があります。
    (CVE-2012-1940, CVE-2012-1941, CVE-2012-1947)

  - 「Content Security Policy」（CSP）のインラインスクリプトブロッキング機能が、インラインイベントハンドラーを適切にブロックしません。このエラーにより、リモート攻撃者は、クロスサイトスクリプティング攻撃をより簡単に仕掛ける​恐れがあります。
    (CVE-2012-1944)

  - Webドキュメントにノードを挿入したり置き換えたりすることに関連する、use-after-freeエラーが存在します。（CVE-2012-1946）

SeaMonkeyのインストールバージョンは、2.10.0より前です。上記のバージョンは以下のセキュリティ問題の影響を受ける可能性があります。

  - 長さがゼロの項目を処理する際に、ASN.1デコーダーにエラーが存在するため、アプリケーションのクラッシュを引き起こす可能性があります。
    (CVE-2012-0441)

  複数のメモリの破損に関するエラーが存在します。（CVE-2012-1937、CVE-2012-1938）

  2つのヒープベースのバッファオーバーフローと1つのヒープベースのuse-after-freeエラーがあり、悪用される可能性があります。
    (CVE-2012-1940, CVE-2012-1941, CVE-2012-1947)

  - アプリケーションの更新と更新サービス機能に関連して、2つの任意のDLL読み込みの問題があります。
    (CVE-2012-1942, CVE-2012-1943)

  - 「Content Security Policy」（CSP）のインラインスクリプトブロッキング機能が、インラインイベントハンドラーを適切にブロックしません。このエラーにより、リモート攻撃者は、クロスサイトスクリプティング攻撃をより簡単に仕掛ける​恐れがあります。
    (CVE-2012-1944)

  - Webドキュメントにノードを挿入したり置き換えたりすることに関連する、use-after-freeエラーが存在します。（CVE-2012-1946）

  - 証明書警告ページに関連するエラーがあり、これにより、「クリックジャッキング」でユーザーを騙して、意図しない証明書を受け入れさせることが可能です。（CVE-2012-1964）

USN-1463-1 は、Firefox の脆弱性を修正しました。この更新により、 Thunderbird に対応する修正が提供されます。

Jesse Ruderman 氏、Igor Bukanov 氏、Bill McCloskey 氏、Christian Holler 氏、 Andrew McCreight 氏、Olli Pettay 氏、Boris Zbarsky 氏、および Brian Bondy 氏は、 Firefox に影響を与えているメモリの安全性の問題を発見しました。ユーザーが騙されて特別に細工されたページを開くと、攻撃者は、これらを悪用して、アプリケーションクラッシュを介しサービス拒否を発生させたり、 Firefox を呼び出すユーザーの権限でコードを実行したりする可能性があります。（CVE-2012-1937、CVE-2012-1938）

Mozilla の WebGL 実装に特定の NVIDIA グラフィックスドライバーのバグがあることが判明しました。この問題の影響は現時点では公表されていません。
（CVE-2011-3101）

Content Security Policy（CSP）のインラインスクリプトブロック機能により、特定のインラインイベントハンドラーが適切にブロックされないことを、Adam Barth 氏が発見しました。クロスサイトスクリプティング（XSS）に対する保護を行うための CSP のこの機能に依存する Web アプリケーションが、完全には保護されていませんでした。
クロスサイトスクリプティングの脆弱性で、ユーザーが騙されて、特別に細工されたページを表示すると、リモートの攻撃者がこれを悪用してコンテンツを改竄したり、同一ドメイン内で機密データを盗み出したりするおそれがあります。（CVE-2012-1944）

Paul Stone 氏は、Windows または Samba のシェアでホストされている表示済み HTML ページにより、同じシェアの中の Windows ショートカットファイル（.lnk）が読み込まれる可能性があることを、発見しました。このようなショートカットファイルは、その後、個別に HTML ページを読み込むローカルファイルシステムの任意の場所にリンクされる可能性があります。攻撃者が、この脆弱性を利用して、iframe のこれらのリンクされたファイルまたはディレクトリの内容を表示し、結果として情報漏洩を引き起こす可能性があります。（CVE-2012-1945）

Arthur Gerkis 氏は、ドキュメントのノードを置き換え/挿入するときに use-after-free の脆弱性があることを、発見しました。ユーザーが騙されて特別に細工されたページを開くと、攻撃者は、これを悪用して、アプリケーションクラッシュを介しサービス拒否を発生させたり、 Firefox を呼び出すユーザーの権限でコードを実行したりする可能性があります。
（CVE-2012-1946）

Kaspar Brand 氏は、Network Security Services（NSS）ASN.1 デコーダーがゼロレングスを処理する方法に脆弱性がを発見しました。ユーザーが騙されて、特別に細工されたページを開いた場合、攻撃者がこれを悪用して、アプリケーションのクラッシュによりサービス拒否を引き起こす可能性があります。
（CVE-2012-0441）

Abhishek Arya 氏は、2 つのバッファオーバーフローと 1 つの use-after-free の脆弱性を発見しました。ユーザーが騙されて特別に細工されたページを開くと、攻撃者は、これらを悪用して、アプリケーションクラッシュを介しサービス拒否を発生させたり、 Firefox を呼び出すユーザーの権限でコードを実行したりする可能性があります。（CVE-2012-1940、CVE-2012-1941、 CVE-2012-1947）。

Red Hat セキュリティアドバイザリ 2012:0715 から：

複数のセキュリティの問題を修正する更新済みの Thunderbird パッケージが、 Red Hat Enterprise Linux 5 と 6 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新によるセキュリティ上の影響が重大だと評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Mozilla Thunderbird はスタンドアロンのメールおよびニュースグループクライアントです。

無効な形式のコンテンツの処理で、いくつかの欠陥が見つかりました。
悪意あるコンテンツが、Thunderbird をクラッシュさせたり、 Thunderbird を実行しているユーザーの権限で任意のコードを実行したりする可能性があります。（CVE-2011-3101、CVE-2012-1937、CVE-2012-1938、CVE-2012-1939、CVE-2012-1940、CVE-2012-1941、CVE-2012-1946、CVE-2012-1947）

注：CVE-2011-3101 により影響を受けるのは、ある特定の NVIDIA ディスプレイドライバーのユーザーのみであり、ハードウェアアクセラレータを有効にしているグラフィックスカードがある場合です。

Thunderbird での Content Security Policy（CSP）の実装で、 Thunderbird のインラインイベントハンドラーがもはやブロックされないことが判明しました。
悪意のあるコンテンツが、クロスサイトスクリプティング（XSS）などの欠陥から守るのに、CSP を頼りにしている場合、そのコンテンツは意図した制限をバイパスする可能性があります。(CVE-2012-1944)

ある Web サーバーが Microsoft Windows の共有または Samba の共有に保存されているコンテンツをホストしていた場合、このようなコンテンツを Thunderbird でロードすると、同じ共有にある Windows のショートカットファイル（.lnk）もロードされてしまう可能性があります。攻撃者は、この欠陥を利用して、被害者のシステム上にある、ローカルなファイルやディレクトリのコンテンツを見てしまうことがあります。この問題は、自分のシステムでマウントされている Microsoft Windows の共有または Samba の共有から、コンテンツを開いているユーザーにも影響を与えていました。(CVE-2012-1945)

Red Hat は、Mozilla プロジェクトがこれらの問題を報告してくれたことに感謝の意を表します。Upstream では、Google の Ken Russell 氏が CVE-2011-3101 の、Igor Bukanov 氏、Olli Pettay 氏、Boris Zbarsky 氏、および Jesse Ruderman 氏が CVE-2012-1937 の、Jesse Ruderman 氏、Igor Bukanov 氏、Bill McCloskey 氏、Christian Holler 氏、Andrew McCreight 氏、および Brian Bondy 氏が CVE-2012-1938 の、
Christian Holler 氏が CVE-2012-1939 の、Google のセキュリティの研究者である Abhishek Arya 氏が CVE-2012-1940、CVE-2012-1941、および CVE-2012-1947 の、セキュリティの研究者である Arthur Gerkis 氏が CVE-2012-1946 の、セキュリティの研究者である Adam Barth 氏が CVE-2012-1944 の、そしてセキュリティの研究者である Paul Stone 氏が CVE-2012-1945 の最初の報告者として認めています。

注：メールメッセージに対して JavaScript がデフォルトで無効であるため、このアドバイザリのどの問題も、特別に細工された HTML メールメッセージでは悪用できません。RSS フィードのリモートコンテンツ全体を表示するときなど、Thunderbird でこれらを別の方法で悪用することが可能です。

Thunderbird の全ユーザーは、 Thunderbird version 10.0.5 ESR が含まれるこれらの更新済みパッケージにアップグレードし、この問題を修正する必要があります。
この更新を有効にするには、更新をインストールした後、Thunderbird を再起動する必要があります。

Versions of Firefox prior to 13.0 are potentially affected by the following security issues :

 - An error exists in the ASN.1 decoder when handling zero length items that can lead to application crashes. (CVE-2012-0441)
 - Multiple memory corruption errors exist. (CVE-2012-1937, CVE-2012-1038)
 - Two heap-based buffer overflows and one heap-based use-after-free error exist and are potentially exploitable. (CVE-2012-1940, CVE-2012-1941, CVE-2012-1947)
 - Two arbitrary DLL load issues exist related to the application update and update service functionality. (CVE-2012-1942, CVE-2012-1943)
 - The inline-script blocking feature of the 'Content Security Policy' (CSP) does not properly block inline event handlers. This error allows remote attackers to more easily carry out cross-site scripting attacks. (CVE-2012-1944)
 -  A use-after-free error exists related to replacing or inserting a node into a web document. (CVE-2012-1946)


Versions of SeaMonkey 2.x earlier than 2.10 are potentially affected by the following security issues :

  - An error exists in the ASN.1 decoder when handling zero length items that can lead to application crashes. (CVE-2012-0441)

  - Multiple memory corruption errors exist. (CVE-2012-1937, CVE-2012-1938)

  - Two heap-based buffer overflows and one heap-based use-after-free error exist and are potentially exploitable. (CVE-2012-1940, CVE-2012-1941, CVE-2012-1947)

  - Two arbitrary DLL load issues exist related to the application update and update service functionality. (CVE-2012-1942, CVE-2012-1943)

  - The inline-script blocking feature of the 'Content Security Policy' (CSP) does not properly block inline event handlers. This error allows remote attackers to more easily carry out cross-site scripting attacks. (CVE-2012-1944)

  -  A use-after-free error exists related to replacing or inserting a node into a web document. (CVE-2012-1946)


Versions of Mozilla Thunderbird prior to 13.0 are affected by the following security issues :

 - An error exists in the ASN.1 decoder when handling zero length items that can lead to application crashes. (CVE-2012-0441)
 - Multiple memory corruption errors exist. (CVE-2012-1937, CVE-2012-1038)
 - Two heap-based buffer overflows and one heap-based use-after-free error exist and are potentially exploitable. (CVE-2012-1940, CVE-2012-1941, CVE-2012-1947)
 - Two arbitrary DLL load issues exist related to the application update and update service functionality. (CVE-2012-1942, CVE-2012-1943)
 - The inline-script blocking feature of the 'Content Security Policy' (CSP) does not properly block inline event handlers. This error allows remote attackers to more easily carry out cross-site scripting attacks. (CVE-2012-1944)
 - A use-after-free error exists related to replacing or inserting a node into a web document. (CVE-2012-1946)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
59408	Firefox 10.0.x < 10.0.5 複数の脆弱性	Nessus	Windows	2012/6/7	2018/7/16	high
59411	SeaMonkey < 2.10.0の複数の脆弱性	Nessus	Windows	2012/6/7	2018/7/27	high
59725	Ubuntu 11.04：thunderbird の脆弱性（USN-1463-6）	Nessus	Ubuntu Local Security Checks	2012/6/27	2019/9/19	critical
68536	Oracle Linux 6：thunderbird（ELSA-2012-0715）	Nessus	Oracle Linux Local Security Checks	2013/7/12	2024/10/22	medium
6497	Mozilla Firefox < 13.0 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2012/6/7	2019/3/6	high
6496	SeaMonkey 2.x < 2.10 Multiple Vulnerabilities	Nessus Network Monitor	Web Clients	2012/6/11	2019/3/6	high
6498	Mozilla Thunderbird < 13.0 Multiple Vulnerabilities	Nessus Network Monitor	SMTP Clients	2012/6/7	2019/3/6	high

检测

插件搜索

high

high

critical

medium

high

high

high