| 취약점ID |
28923 |
| 위험도 |
30 |
| 포트 |
139,445 |
| 프로토콜 |
TCP |
| 분류 |
SMB |
| 상세설명 |
원격 Windows 호스트에 설치된 Thunderbird 버전은 78.9.1 이전입니다. 따라서 mfsa2021-13 권고에 언급 된 여러 취약점의 영향을 받습니다.
-Thunderbird 사용자가 이전에 Alice의 OpenPGP 키를 가져 왔고 Alice가 키의 유효 기간을 연장했지만 Alice의 업데이트 된 키를 아직 가져 오지 않은 경우 공격자는 잘못된 하위 키와 함께 Alice의 키의 제작 된 버전이 포함 된 이메일을 보낼 수 있습니다. , Thunderbird는 이후에 유효하지 않은 하위 키를 사용하려고 시도 할 수 있으며 암호화 된 이메일을 Alice에게 보내지 못합니다. (CVE-2021-23991)
-Thunderbird는 OpenPGP 키와 관련된 사용자 ID에 유효한 자체 서명이 있는지 확인하지 않았습니다. 공격자는 원래 사용자 ID를 바꾸거나 다른 사용자 ID를 추가하여 OpenPGP 키의 제작 된 버전을 만들 수 있습니다. Thunderbird가 제작 된 키를 가져오고 수락하는 경우, Thunderbird 사용자는 거짓 사용자 ID가 상대방에게 속한다고 거짓으로 결론을 내릴 수 있습니다. (CVE-2021-23992)
-공격자는 사용자가 암호화 된 이메일을 상대방에게 보내는 것을 방지하기 위해 DoS 공격을 수행 할 수 있습니다. 공격자가 잘못된 자체 서명이있는 하위 키를 사용하여 제작 된 OpenPGP 키를 생성하고 Thunderbird 사용자가 제작 된 키를 가져 오면 Thunderbird가 잘못된 하위 키를 사용하려고 할 수 있지만 RNP 라이브러리는 이를 거부하여 암호화를 유발합니다. 불합격. (CVE-2021-23993)
-OTR 프로토콜 구현을 제공하는 공유 라이브러리를 로드 할 때 Thunderbird는 처음에 Thunderbird에서 배포하지 않은 파일 이름을 사용하여 열기를 시도합니다. 컴퓨터가 이미 대체 파일 이름의 악성 라이브러리에 감염되었고 악성 라이브러리가 실행 라이브러리 검색 경로에 포함 된 디렉토리에 복사 된 경우 Thunderbird는 잘못된 라이브러리를 로드합니다. (CVE-2021-29949)
* 참고 사이트:
https://www.mozilla.org/en-US/security/advisories/mfsa2021-13/
* 영향을 받는 플랫폼:
Mozilla Project, Thunderbird 78.9.1 이전의 버전들
Microsoft Windows Any version
Linux Any version |
| 해결책 |
Mozilla 웹 사이트인 http://www.mozilla.com/thunderbird/ 에서 구할 수 있는 Thunderbird의 가장 최신 버전(78.9.1 혹은 이후)을 구하여 업그레이드 하여야 한다. |
| 관련 URL |
CVE-2021-23991,CVE-2021-23992,CVE-2021-23993,CVE-2021-29949 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
