中（Moderate）：thunderbirdのセキュリティアップデート

複数のセキュリティ問題を修正したthunderbirdのアップデートパッケージがRed Hat Enterprise Linux 5で利用可能になりました。

このアップデートは、レッドハットセキュリティ対策チームによって、深刻度「中（Moderate）」のセキュリティ問題と評価されています。

Mozilla Thunderbirdは、スタンドアロンのメールおよびニュースグループクライアントです。

不正なHTMLメールコンテンツの処理で複数の欠陥が見つかりました。
悪意のあるコンテンツを含んだHTMLメールメッセージにより、Thunderbirdがクラッシュしたり、Thunderbirdを実行しているユーザとして任意のコードが実行されたりする可能性があります。
（CVE-2009-1392、CVE-2009-1303、CVE-2009-1305、CVE-2009-1833、CVE-2009-1838）

不正な形式のHTMLメールの内容を処理する方法に複数の欠陥が見つかりました。悪意のある内容を含んだHTMLメールメッセージが、そのメールメッセージのコンテキスト内で任意のJavaScriptを実行して、ユーザを欺くためのデータを示したり、ログイン証明のような機密情報を盗んだりする可能性がありました。
（CVE-2009-1306、CVE-2009-1307、CVE-2009-1308、CVE-2009-1309）

Thunderbirdでのプロキシサーバから返されたエラー応答の処理で欠陥が見つかりました。プロキシサーバを使用しているThunderbirdのインスタンスに対して攻撃者が「man-in-the-middle」攻撃を実行できれば、Thunderbirdが表示しているサイトから機密情報を盗める可能性がありました。
（CVE-2009-1836）

注：Thunderbirdでは、JavaScriptのサポートはデフォルトでは無効になっています。上記の問題は、JavaScriptを有効にしないかぎり悪用できません。

すべてのThunderbirdのユーザは、これらの問題を解決する上記アップデートパッケージにアップグレードしてください。アップデートを有効にするためには、動作中のすべてのThunderbirdのインスタンスを再起動する必要があります。

このアップデートを適用する前に、ご使用のシステムに関係するリリース済みのエラータ/Errataがすべて適用されていることを確認してください。

このアップデートは、Red Hat Networkを通じて入手できます。

456202 - Launch thunderbird with option "-contentLocale" <locale> will get warning message
496253 - CVE-2009-1303 Firefox 2 and 3 Layout engine crash
496256 - CVE-2009-1305 Firefox 2 and 3 JavaScript engine crash
496262 - CVE-2009-1306 Firefox jar: scheme ignores the content-disposition: header on the inner URI
496263 - CVE-2009-1307 Firefox Same-origin violations when Adobe Flash loaded via view-source: protocol
496266 - CVE-2009-1308 Firefox XSS hazard using third-party stylesheets and XBL bindings
496267 - CVE-2009-1309 Firefox Same-origin violations in XMLHttpRequest and XPCNativeWrapper.toString
503568 - CVE-2009-1392 Firefox browser engine crashes
503570 - CVE-2009-1833 Firefox JavaScript engine crashes
503578 - CVE-2009-1836 Firefox SSL tampering via non-200 responses to proxy CONNECT requests
503580 - CVE-2009-1838 Firefox arbitrary code execution flaw

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1303
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1305
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1306
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1307
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1308
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1309
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1392
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1833
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1836
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-1838
http://www.redhat.com/security/updates/classification/#moderate