远程主机上安装的 thunderbird 版本低于 140.7.2-1。因此，该软件受到 ALAS2-2026-3190 公告中提及的多个漏洞影响。

    特别构建的文件可导致 libjxl 的解码器从未初始化（但已分配）内存读取像素数据。

    此问题可因让解码器在后续修补程序中引用图像外部区域而出现。
    一个不正确的优化造成解码器忽略填充这些区域。 (CVE-2025-12474)

    特别构建的文件可导致 libjxl 的解码器将像素数据写入未初始化且未分配的内存。不久之后，另一个未初始化的未分配区域的数据被复制到 pixel data 中。

    这可以通过请求将灰度图像颜色转换到另一个灰度颜色空间来实现。
    分配给每像素 1 个浮点的缓冲区的使用方式与分配给每像素 3 个浮点的缓冲区相同。仅当 LCMS2 用作 CMS 引擎时才会发生此情况。有另一个 CMS 引擎可用（通过构建标记选择）。 (CVE-2026-1837)

    libvpx 中的堆缓冲区溢出。此漏洞会影响 Firefox < 147.0.4、Firefox ESR < 140.7.1、Firefox ESR < 115.32.1、Thunderbird < 140.7.2 和 Thunderbird < 147.0.2。(CVE-2026-2447)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2: thunderbird，--advisory ALAS2-2026-3190 (ALAS-2026-3190)

high Nessus 插件 ID 301275

版本 1.1