レッドハット | サポート

Shortcuts: お問い合わせ| 製品のご購入| Fedora| サイトマップ

Account Links: RHN登録方法 | RHN登録 | RHNログイン

サポート > セキュリティー&アップデート/ERRATA

重大（Critical）：thunderbirdのセキュリティアップデート

アドバイスID:	RHSA-2007:0078-2
最終更新日:	2007-03-06
影響のあるプロダクト:	Red Hat Desktop (v. 4) Red Hat Enterprise Linux AS (v. 4) Red Hat Enterprise Linux ES (v. 4) Red Hat Enterprise Linux WS (v. 4)
OVAL:	https://rhn.redhat.com/errata/RHSA-2007-0078.html
CVEs (cve.mitre.org):	CVE-2006-6077 CVE-2007-0008 CVE-2007-0009 CVE-2007-0775 CVE-2007-0777 CVE-2007-0778 CVE-2007-0779 CVE-2007-0780 CVE-2007-0800 CVE-2007-0981 CVE-2007-0994 CVE-2007-0995 CVE-2007-0996 CVE-2007-1092

セキュリティ・アドバイス

概要:

複数のセキュリティのバグを修正したthunderbirdのアップデートパッケージがRed Hat Enterprise Linux 4で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「重大（Critical）」のセキュリティ問題と評価されています。

[2007年3月6日更新]
説明文がアップデートされました。CVE-2007-1282が追加され、Thunderbirdに影響があるとして誤って記載されていたCVE-2007-0994が削除されました。これらのエラータパッケージに変更は加えられていません。

Mozilla Thunderbirdは、スタンドアロンのメールおよびニュースグループクライアントです。

Thunderbirdによる特定の不正なJavaScriptコードの処理で、複数の欠陥が見つかりました。悪意のあるHTMLメールメッセージでJavaScriptコードが実行されることにより、Thunderbirdがクラッシュしたり、Thunderbirdを実行しているユーザとして任意のコードが実行されたりする可能性があります。Thunderbirdでは、JavaScriptのサポートはデフォルトで無効になっています。これらの問題は、ユーザがJavaScriptを有効にしないかぎり悪用できません。（CVE-2007-0775、CVE-2007-0777、CVE-2007-1092）

Thunderbirdによるtext/enhancedおよびtext/richtext形式のメールメッセージの処理で欠陥が見つかりました。巧妙に作成されたメールメッセージにより、Thunderbirdを実行しているユーザの権限で任意のコードが実行される可能性があります。（CVE-2007-1282）

Thunderbirdによる特定の不正なHTMLメールメッセージの処理で、複数のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。悪意のあるHTMLメールメッセージが誤解を招く情報を表示することにより、ユーザが意図せずにパスワードなどの機密情報を開示する可能性があります。（CVE-2006-6077、CVE-2007-0995、CVE-2007-0996）

ThunderbirdがWebコンテンツをローカルディスクにキャッシュする処理で欠陥が見つかりました。ユーザが目的のサイトをリロードした場合、悪意のあるHTMLメールメッセージにより、任意のHTMLがブラウジングセッションへ挿入される可能性があります。（CVE-2007-0778）

Thunderbirdが特定のWebコンテンツを表示する処理で欠陥が見つかりました。悪意のあるHTMLメールメッセージがユーザインタフェース要素（ホスト名インジケータやセキュリティインジケータなど）に重ねて表示されるコンテンツを生成することにより、ユーザを欺いて別のサイトを閲覧しているように見せかけることが可能です。（CVE-2007-0779）

ブロックされたポップアップウィンドウを表示するThunderbirdの処理で、2つの欠陥が見つかりました。ブロックされたポップアップをユーザが開いた場合、任意のローカルファイルが読み取られたり、そのユーザに対してXSS攻撃が仕掛けられたりする可能性があります。（CVE-2007-0780、CVE-2007-0800）

SSLv2プロトコルを処理するためのNetwork Security Services（NSS）のコードで、2つのバッファオーバーフローの欠陥が見つかりました。悪意のあるセキュアWebサーバに接続すると、Thunderbirdを実行しているユーザとして任意のコードが実行される可能性があります。（CVE-2007-0008、CVE-2007-0009）

Thunderbirdによる特定のブラウザドメインチェック時の「location.hostname」値の処理で、欠陥が見つかりました。この欠陥のために、悪意のあるHTMLメールメッセージによって任意のサイトのドメインCookieが設定されたり、XSS攻撃が仕掛けられたりする可能性があります。（CVE-2007-0981）

Thunderbirdのユーザは、これらの問題を修正するThunderbirdバージョン1.5.0.10を含む上記アップデートを適用してください。

アップデート・パッケージ:

Red Hat Desktop (v. 4)

SRPMS:
thunderbird-1.5.0.10-0.1.el4.src.rpm	`61e8fd63c57291ea007117b1a4ca77ef`

IA-32:
thunderbird-1.5.0.10-0.1.el4.i386.rpm	`476d788b6fee2f095a21f0e2f65c1474`

x86_64:
thunderbird-1.5.0.10-0.1.el4.x86_64.rpm	`71ef8d103632694f24d612c36b1dfe5d`

Red Hat Enterprise Linux AS (v. 4)

SRPMS:
thunderbird-1.5.0.10-0.1.el4.src.rpm	`61e8fd63c57291ea007117b1a4ca77ef`

IA-32:
thunderbird-1.5.0.10-0.1.el4.i386.rpm	`476d788b6fee2f095a21f0e2f65c1474`

IA-64:
thunderbird-1.5.0.10-0.1.el4.ia64.rpm	`2b2d89e99412ae5dff0c9839ebbea606`

PPC:
thunderbird-1.5.0.10-0.1.el4.ppc.rpm	`339c890b3b2e6d0e3793d21fdeb94431`

s390:
thunderbird-1.5.0.10-0.1.el4.s390.rpm	`402cf9e68a52f43b1aacb3726efd8f55`

s390x:
thunderbird-1.5.0.10-0.1.el4.s390x.rpm	`9b5df13b2a710819dc125cc6934bd5e8`

x86_64:
thunderbird-1.5.0.10-0.1.el4.x86_64.rpm	`71ef8d103632694f24d612c36b1dfe5d`

Red Hat Enterprise Linux ES (v. 4)

SRPMS:
thunderbird-1.5.0.10-0.1.el4.src.rpm	`61e8fd63c57291ea007117b1a4ca77ef`

IA-32:
thunderbird-1.5.0.10-0.1.el4.i386.rpm	`476d788b6fee2f095a21f0e2f65c1474`

IA-64:
thunderbird-1.5.0.10-0.1.el4.ia64.rpm	`2b2d89e99412ae5dff0c9839ebbea606`

x86_64:
thunderbird-1.5.0.10-0.1.el4.x86_64.rpm	`71ef8d103632694f24d612c36b1dfe5d`

Red Hat Enterprise Linux WS (v. 4)

SRPMS:
thunderbird-1.5.0.10-0.1.el4.src.rpm	`61e8fd63c57291ea007117b1a4ca77ef`

IA-32:
thunderbird-1.5.0.10-0.1.el4.i386.rpm	`476d788b6fee2f095a21f0e2f65c1474`

IA-64:
thunderbird-1.5.0.10-0.1.el4.ia64.rpm	`2b2d89e99412ae5dff0c9839ebbea606`

x86_64:
thunderbird-1.5.0.10-0.1.el4.x86_64.rpm	`71ef8d103632694f24d612c36b1dfe5d`

(The unlinked packages above are only available from the Red Hat Network)

解決法:

このアップデートを適用する前に、システムに関連するリリース済の errata が適用済であることをご確認ください。
それぞれのアーキテクチャで全てのRPMをアップデートするには、以下のコマンドを実行してください：

rpm -Fvh [filename]

[filename] は、アップデートしたいRPMのファイル名です。現在インストールされているパッケージのみ、アップグレードされます。現在いるディレクトリにインストールしたいRPM *しか* 無い場合には、ワイルドカード (*.rpm) も使うことができます。
このアップデートは、Red Hat Network 経由でも行なえます。アップデートを適用する非常に簡便な方法です。Red hat Network をご利用になるには、以下のコマンドで、アップデートエージェントを起動してください。

up2date

このコマンドで、システムに適切なRPMをアップグレードする対話形式のプロセスを起動します。

バグジラ: (詳細は、こちらbugzilla[英語]を御覧ください。)

204453 - Thunderbird startup script not updated for the add-on based locale
230542 - CVE-2007-0775 Multiple Thunderbird flaws (CVE-2007-0777, CVE-2007-0995, CVE-2007-0996, CVE-2006-6077, CVE-2007-0778, CVE-2007-0779, CVE-2007-0780, CVE-2007-0800, CVE-2007-0008, CVE-2007-0009, CVE-2007-0981, CVE-2007-1092)
230733 - CVE-2007-0994 Thunderbird arbitrary javascript command execution

参照:

ここに在るパッケージはセキュリティの為、 Red Hat, Inc. によって、 GPG 認証されています。キーは以下から利用可能になっています:
http://www.redhat.com/about/contact.html

各パッケージを確認するには次のコマンドをご利用ください: rpm --checksig filename
各パッケージが壊れていないか、もしくは改ざんされていないかを確認するには、以下のコマンドで MD5 チェックサムをお調べください: rpm --checksig --nogpg filename
注意: GnuPG キーをチェックするためには、RPM 3.0 以上が必要です。

メインリンク:

Links for this section: