English

◀◁ 뒤로 취약점ID 28938 위험도 40 포트 139,445 프로토콜 TCP 분류 SMB 상세설명 '원격 Windows 호스트에 설치된 Thunderbird 버전은 91.11 이전 버전입니다. 따라서 mfsa2022-26 권고에 언급된 여러 취약점의 영향을 받습니다. - 팝업을 생성할 수 있는 악의적인 웹사이트는 팝업 크기를 조정하여 주소 표시줄에 자체 콘텐츠를 덮어씌울 수 있어서 사용자를 혼란하게 하거나 스푸핑 공격을 일으킬 수 있습니다. 이 버그는 Linux용 Thunderbird에만 영향을 미칩니다. 다른 운영 체제는 영향을 받지 않습니다. (CVE-2022-34479) - XML 문서 간의 탐색으로 인해 use-after-free 및 잠재적으로 악용 가능한 충돌이 발생할 수 있습니다.(CVE-2022-34470) - 스크립트 실행이 허용되지 않은 iframe은 사용자가 <code>javascript:</code> 링크를 클릭하면 실행할 수 있습니다. (CVE-2022-34468) - OpenPGP 디지털 서명에는 서명이 생성된 날짜에 대한 정보가 포함됩니다. 디지털 서명이 포함된 이메일을 표시할 때 이메일의 날짜가 표시됩니다. 날짜가 다른 경우 Thunderbird는 이메일에 잘못된 서명이 있는 것으로 보고하지 않았습니다. 공격자가 오래된 내용의 이메일을 나중에 재전송하는 재생 공격을 수행하면 피해자가 이메일의 내용이 최신 내용이라고 믿게 할 수 있습니다. 고정 버전의 Thunderbird에서는 서명 날짜가 이메일에 표시된 날짜와 대략적으로 일치해야 합니다. (CVE-2022-2226) - <code>nsTArrayImpl::ReplaceElementsAt()</code> 함수에서 대체할 요소의 수가 컨테이너에 비해 너무 많으면 정수 오버플로가 발생할 수 있었습니다. (CVE-2022-34481) - 공격자는 내부 URI(예: resource:)를 통해 액세스할 수 있는 스타일시트에 CSS를 삽입하고 페이지의 콘텐츠 보안 정책을 우회할 수 있습니다. (CVE-2022-31744) - PAC URL이 설정되어 있고 PAC를 호스팅하는 서버에 연결할 수 없는 경우 OCSP 요청이 차단되어 잘못된 오류 페이지가 표시됩니다. (CVE-2022-34472) - <code>ms-msdt</code>, <code>search</code> 및 <code>search-ms</code> 프로토콜은 사용자가 프롬프트를 수락할 때 브라우저를 우회하여 Microsoft 애플리케이션에 콘텐츠를 전달합니다. 이러한 응용 프로그램에는 알려진 취약점이 있으며, 야생에서 악용됩니다(Thunderbird를 통해 악용된 적은 없음을 알고 있음). 따라서 이번 릴리스에서 Thunderbird는 이러한 프로토콜이 사용자에게 열지 못하도록 차단했습니다. 이 버그는 Windows의 Thunderbird에만 영향을 줍니다. 다른 운영 체제는 영향을 받지 않습니다. (CVE-2022-34478) - 오브젝트 프로토타입이 공격자에 의해 손상된 경우 JavaScript 오브젝트에 원하지 않는 속성을 설정하여 권한 있는 코드 실행 하게 됩니다. (CVE-2022-2200) - Mozilla Fuzzing 팀은 Thunderbird 91.10에 존재하는 잠재적인 취약점을 보고했습니다. 이러한 버그 중 일부는 메모리 손상의 증거를 보여주었으며 충분한 노력을 기울이면 이들 중 일부가 임의 코드를 실행하는 데 악용될 수 있다고 가정합니다. (CVE-2022-34484) * 참고 사이트: https://www.mozilla.org/en-US/security/advisories/mfsa2022-26/ * 영향을 받는 플랫폼: Mozilla Project, Thunderbird 91.11 이전의 버전들 Microsoft Windows Any version Linux Any version 해결책 Mozilla 웹 사이트인 http://www.mozilla.com/thunderbird/ 에서 구할 수 있는 Thunderbird의 가장 최신 버전(91.11 혹은 이후)을 구하여 업그레이드 하여야 한다. 관련 URL CVE-2022-31744,CVE-2022-34479,CVE-2022-34470,CVE-2022-34468,CVE-2022-34481,CVE-2022-34472,CVE-2022-34478,CVE-2022-2200,CVE-2022-34484 (CVE) 관련 URL (SecurityFocus) 관련 URL (ISS)