リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、128.10.1 より前です。したがって、mfsa2025-34 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 追跡リンクを添付ファイルとして表示するメールを作成することが可能でした。ユーザーが添付ファイルを開こうとすると、Thunderbird は自動的にリンクにアクセスしました。リモートコンテンツをブロックする設定では、これを防ぐことはできませんでした。Thunderbird は、メールの X-Mozilla-External-Attachment-URL ヘッダーにリストされているウェブページへのアクセスを許可しないように修正されました。(CVE-2025-3932)

  - Thunderbird は、サーバー側で無効な From アドレスの使用が許可された場合にアドレスを解析します。これにより、送信者のなりすましが可能になります。たとえば、From ヘッダーに (無効な) 値 Spoofed Name <spoofed@example.com> <legitimate@example.com> が含まれている場合、Thunderbird は spoofed@example.com を実際のアドレスとして扱います (CVE-2025-3875)。

  - Thunderbird の X-Mozilla-External-Attachment-URL ヘッダーの処理が悪用され、file:/// コンテキストで JavaScript が実行される可能性があります。ネストされたメールの添付ファイル (message/rfc822) を作成し、そのコンテンツタイプを application/pdf に設定すると、Thunderbird を開いたときに誤って HTML としてレンダリングされ、埋め込まれた JavaScript がファイルのダウンロードを必要とせずに実行されてしまう可能性があります。この動作は、Thunderbird が添付ファイルを /tmp に自動保存し、file:/// プロトコル経由でそのファイルにリンクすることに依存しており、HTML の一部として JavaScript の実行が可能になる可能性があります。(CVE-2025-3909)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2025-8203 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [128.10.1-1.0.1]
    - 新しい nss の prefs を修正します [Orabug: 37079813]
    - Oracle prefs を追加

    [128.10.1]
    - OpenELA ブランド解除を追加

    [128.10.1-1]
    - 128.10.1 に更新

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2025:01660-2 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird に更新してください 128.10.1。

    セキュリティの修正: 

    - MFSA 2025-34 (bsc#1243216)
      * CVE-2025-3875Thunderbird の無効な形式のヘッダーによる送信者のなりすまし。
      * CVE-2025-3877mailbox:/// リンクを介した、求められていないファイルダウンロード、ディスク容量の枯渇、認証情報の漏洩。
      * CVE-2025-3909偽装された PDF 添付ファイルおよび file:/// Link による JavaScript 実行。
      * CVE-2025-3932添付ファイルのリンクの追跡がリモートコンテンツブロックをバイパス。

    その他のバグ修正:

    - 修正済みスタンドアロンのメッセージウィンドウ/タブが、フォルダーコンパクション後に応答しなくなりました。
    - 修正済み Outlook メッセージをインポートする際に Thunderbird がクラッシュする可能性があります。
    - ビジュアルおよび UX の改善。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2025:8594 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird は、スタンドアロンのメールおよびニュースグループクライアントです。

    セキュリティ修正プログラム:

    * thunderbird偽装された PDF 添付ファイルと file:/// リンクによる JavaScript の実行CVE-2025-3909

    * thunderbirdThunderbird の無効な形式のヘッダーを介した、送信者のなりすましCVE-2025-3875

    * thunderbirdmailbox:/// リンクを介した、求められていないファイルダウンロード、ディスクスペースの枯渇、および認証情報の漏洩CVE-2025-3877

    * thunderbird添付ファイルのリンクの追跡が、リモートコンテンツブロックをバイパスしますCVE-2025-3932

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのRedhat Enterprise Linux 10ホストには、 RHSA-2025:8196 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Mozilla Thunderbird は、スタンドアロンのメールおよびニュースグループクライアントです。

    セキュリティ修正プログラム:

    * thunderbird偽装された PDF 添付ファイルと file:/// リンクによる JavaScript の実行CVE-2025-3909

    * thunderbirdThunderbird の無効な形式のヘッダーを介した、送信者のなりすましCVE-2025-3875

    * thunderbirdmailbox:/// リンクを介した、求められていないファイルダウンロード、ディスクスペースの枯渇、および認証情報の漏洩CVE-2025-3877

    * thunderbird添付ファイルのリンクの追跡が、リモートコンテンツブロックをバイパスしますCVE-2025-3932

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの AlmaLinux 8 ホストに、ALSA-2025:8756 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * thunderbird: 偽装された PDF 添付ファイルと file:/// リンクによる JavaScript の実行 (CVE-2025-3909)
      * thunderbird: Thunderbird の無効な形式のヘッダーを介した送信者のなりすまし (CVE-2025-3875)
      * thunderbird: 不正なファイルダウンロード、ディスクスペースの枯渇、mailbox:/// リンクを介した認証情報の漏洩 (CVE-2025-3877)
      * thunderbird: 添付ファイル内のリンクの追跡によりリモートコンテンツブロックが回避される (CVE-2025-3932)
      * firefox: thunderbird: Promise オブジェクトを解決する際の領域外アクセス (CVE-2025-4918)
      * firefox: thunderbird: リニアサムを最適化する際の領域外アクセス (CVE-2025-4919)
      * firefox: thunderbird: クリックジャッキングの脆弱性により、保存された支払カードの詳細が漏洩する可能性があります (CVE-2025-5267)
      * firefox: thunderbird: ?Copy as cURL? コマンドでローカルコードが実行される可能性がある (CVE-2025-5264)
      * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5268)
      * firefox: thunderbird: スクリプト要素イベントにより、クロスオリジンリソースの状態が漏洩しました (CVE-2025-5266)
      * firefox: thunderbird: スクリプト実行のエラー処理が、Web コンテンツから不適切に隔離されていました (CVE-2025-5263)
      * firefox: thunderbird: メモリ安全性のバグ (CVE-2025-5269)

Tenable は、前述の記述ブロックを AlmaLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
236405	Mozilla Thunderbird < 128.10.1	Nessus	MacOS X Local Security Checks	5/14/2025	6/10/2025	high
237394	Oracle Linux 9 : thunderbird (ELSA-2025-8203)	Nessus	Oracle Linux Local Security Checks	5/27/2025	6/30/2025	high
237564	SUSE SLED15 / SLES15 セキュリティ更新MozillaThunderbirdSUSE-SU-2025:01660-2	Nessus	SuSE Local Security Checks	5/30/2025	5/30/2025	high
237772	RHEL 8: thunderbird (RHSA-2025:8594)	Nessus	Red Hat Local Security Checks	6/5/2025	6/5/2025	high
237833	RHEL 10thunderbirdRHSA-2025:8196	Nessus	Red Hat Local Security Checks	6/5/2025	6/5/2025	high
238241	AlmaLinux 8 : thunderbird (ALSA-2025:8756)	Nessus	Alma Linux Local Security Checks	6/11/2025	6/11/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high