衍生電子郵件訊息識別碼時，除訊息內容外，還使用未初始化的記憶體。此弱點會影響 Thunderbird < 68.5。(CVE-2020-6792)

處理信封格式錯誤的電子郵件訊息時，Thunderbird 可從隨機記憶體位置讀取資料。此弱點會影響 Thunderbird < 68.5。(CVE-2020-6793)

Mozilla 開發人員和社群成員報告 Firefox 72 和 Firefox ESR 68.4 中存在記憶體安全錯誤。某些錯誤顯示記憶體會遭到損毀，我們推測若有心人士有意操控，可能惡意利用其中部分錯誤執行任意程式碼。一般而言，攻擊者無法經由 Thunderbird 產品中的電子郵件來利用這些缺陷，因為讀取電子郵件時會停用指令碼功能，但是在瀏覽器或類瀏覽器環境中仍可能有風險存在。此弱點會影響 Thunderbird < 68.5、Firefox < 73 和 Firefox < ESR68.5。(CVE-2020-6800)

如果在選取標籤中使用範本標籤，剖析器可能會混淆，並在不應允許 JavaScript 剖析和執行時加以允許。因此，依賴瀏覽器正確運作的網站可能會遭受跨網站指令碼弱點攻擊。一般而言，攻擊者無法經由 Thunderbird 產品中的電子郵件來利用此缺陷，因為讀取電子郵件時會停用指令碼功能，但是在瀏覽器或類瀏覽器的環境中仍可能有風險存在。此弱點會影響 Thunderbird < 68.5、Firefox < 73 和 Firefox < ESR68.5。
(CVE-2020-6798)

如果使用者將密碼儲存在 Thunderbird 60 之前的版本，之後又設定主要密碼，仍可存取這些密碼未加密的複本。這是因為將資料複製到在 Thunderbird 60 中啟動的新格式時，舊有的已儲存密碼檔案並未遭到刪除。系統只會將新的主要密碼新增到新檔案。
這可能會導致出乎使用者預料的已儲存密碼資料外洩狀況。此弱點會影響 Thunderbird < 68.5。
(CVE-2020-6794)

處理含有多個 S/MIME 簽章的訊息時，MIME 處理程式碼中的錯誤會造成 NULL 指標解除參照，進而導致無法利用的當機事件。此弱點會影響 Thunderbird < 68.5。(CVE-2020-6795)

遠端主機受到 GLSA-202003-02 中所述的弱點影響 (Mozilla Firefox：多個弱點) 在 Mozilla Firefox 中已經發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可引誘使用者檢視特製的網頁，並可能以處理程序的權限來執行任意程式碼，或導致拒絕服務情形。此外，遠端攻擊者還可能發動攔截式攻擊、取得敏感資訊、偽造位址列、發動點擊劫持攻擊、繞過安全性限制和保護機制，或造成其他不明影響。因應措施：目前尚無已知的因應措施。

在 Thunderbird 中發現多個安全性問題。如果使用者遭誘騙而在瀏覽內容中開啟特別建構的網站，攻擊者可能會利用這些問題造成拒絕服務、取得敏感資訊、繞過安全性限制和同源限制、發動跨網站指令碼 (XSS)，或是執行任意程式碼。(CVE-2019-11757、CVE-2019-11758、CVE-2019-11759、CVE-2019-11760、CVE-2019-11761、CVE-2019-11762、CVE-2019-11763、CVE-2019-11764、CVE-2019-17005、CVE-2019-17008、CVE-2019-17010、CVE-2019-17011、CVE-2019-17012、CVE-2019-17016、CVE-2019-17017、CVE-2019-17022、CVE-2019-17024、CVE-2019-17026、CVE-2019-20503、CVE-2020-6798、CVE-2020-6800、CVE-2020-6805、CVE-2020-6806、CVE-2020-6807、CVE-2020-6812、CVE-2020-6814、CVE-2020-6819、CVE-2020-6820、CVE-2020-6821、CVE-2020-6825)

據發現，NSS 未正確處理某些記憶體作業。遠端攻擊者可能利用此弱點造成拒絕服務，或執行任意程式碼。(CVE-2019-11745)

據發現，在某些情況下，具備內部加密層的特製 S/MIME 訊息可能會顯示為具有有效簽章，即使簽署者沒有存取加密訊息的權限亦然。攻擊者可能利用此弱點偽造訊息作者。(CVE-2019-11755)

在 Thunderbird 的 expat 程式庫中發現堆積溢位問題。如果使用者遭到誘騙而開啟特別構建的訊息，攻擊者可能利用此問題造成拒絕服務，或是執行任意程式碼。(CVE-2019-15903)

據發現，訊息 ID 計算是以未初始化的資料為基礎。攻擊者可能會利用此弱點取得敏感資訊。(CVE-2020-6792)

在 Thunderbird 中發現多個安全性問題。如果使用者遭誘騙而開啟特別建構的訊息，攻擊者可能會利用這些問題造成拒絕服務、取得敏感資訊，或是執行任意程式碼。(CVE-2020-6793、CVE-2020-6795、CVE-2020-6822)

據發現，如果使用者將密碼儲存在 Thunderbird 60 之前的版本，之後又設定主要密碼，則仍可存取這些密碼的未加密複本。本機使用者可利用此弱點取得敏感資訊。(CVE-2020-6794)

據發現，Devtools 的「複製為 cURL」功能未完全逸出由網站控制的資料。若使用者遭到誘騙而使用「複製為 cURL」功能，將含有特別建構之資料的命令複製後貼到終端機內，攻擊者可能會利用此命令，以透過命令插入執行任意命令。
(CVE-2020-6811)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	Name	Product	Family	Published	Updated	Severity
134899	Amazon Linux 2：thunderbird (ALAS-2020-1408)	Nessus	Amazon Linux Local Security Checks	3/26/2020	12/11/2024	high
147407	NewStart CGSL MAIN 4.06：firefox 多個弱點 (NS-SA-2021-0004)	Nessus	NewStart CGSL Local Security Checks	3/10/2021	4/25/2023	critical
134469	GLSA-202003-02：Mozilla Firefox：多個弱點	Nessus	Gentoo Local Security Checks	3/13/2020	12/7/2022	critical
135896	Ubuntu 16.04 LTS：Thunderbird 弱點 (USN-4335-1)	Nessus	Ubuntu Local Security Checks	4/22/2020	8/29/2024	critical

Detections

Analytics

Plugins Search

high

critical

critical

critical