| CVSS 一時的なメタスコア | 現在のエクスプロイト価格 (≈) | CTI注目指数 |
|---|---|---|
| 6.1 | $0-$5k | 0.00 |
要約
脆弱性が Mozilla Thunderbird 迄 91.13.0 内に見つかりました。この脆弱性は 問題がある として分類されました。 影響を受けるのは 不明な関数 コンポーネントHTML Email Handlerのです。 操作結果として 情報漏えいにつながります。 この脆弱性は CVE-2022-3033 として知られています。 攻撃はリモートで開始される可能性が高いです。 該当するコンポーネントのアップグレードを推奨します。
詳細
脆弱性が Mozilla Thunderbird 迄 91.13.0 内に見つかりました。この脆弱性は 問題がある として分類されました。 影響を受けるのは 不明な関数 コンポーネントHTML Email Handlerのです。 操作結果として 情報漏えいにつながります。 CWEによる問題の宣言は、CWE-200 につながります。 この脆弱性は公開されました 2022年09月19日 によりSarah Jamie Lewis としてBug 1784838 として勧告 （ウェブサイト）。 アドバイザリーは bugzilla.mozilla.org で共有されています。 公開情報には次の様な記述が含まれています。
If a Thunderbird user replied to a crafted HTML email containing a meta tag, with the meta tag having the http-equiv="refresh" attribute, and the content attribute specifying an URL, then Thunderbird started a network request to that URL, regardless of the configuration to block remote content. In combination with certain other HTML elements and attributes in the email, it was possible to execute JavaScript code included in the message in the context of the message compose document. The JavaScript code was able to perform actions including, but probably not limited to, read and modify the contents of the message compose document, including the quoted original message, which could potentially contain the decrypted plaintext of encrypted data in the crafted email. The contents could then be transmitted to the network, either to the URL specified in the META refresh tag, or to a different URL, as the JavaScript code could modify the URL specified in the document. This bug doesn't affect users who have changed the default Message Body display setting to 'simple html' or 'plain text'.
この脆弱性は CVE-2022-3033 として知られています。 攻撃はリモートで開始される可能性が高いです。 入手できる技術的詳細情報はありません。 この脆弱性の普及度は平均未満です。 現在の時点で、エクスプロイトの価格はおおよそUSD $0-$5kかもしれません。 MITRE ATT&CKプロジェクトは、攻撃手法を T1592 と定義しています。
未定義 であると宣言されています。 0dayとして、推定される闇市場取引価格はおよそ $5k-$25k でした。 脆弱性スキャナーNessusはID【208639 (CentOS 7 : thunderbird (RHSA-2022:9079))】のプラグインを提供しています。ターゲット環境における不具合の有無を判定するのに役立ちます。
バージョン 91.13.1 をアップグレードすることで、この問題に対処できます。 該当するコンポーネントのアップグレードを推奨します。 考えられる回避策が、すぐにとして脆弱性の公開後公表されました 。
この脆弱性は他の脆弱性データベースにも文書化されています: Tenable (208639).
製品
タイプ
ベンダー
名前
バージョン
ライセンス
ウェブサイト
- ベンダー: https://www.mozilla.org/
CPE 2.3
CPE 2.2
CVSSv4
VulDB ベクトル: 🔍VulDB 信頼性: 🔍
CVSSv3
VulDB ベースメタスコア: 6.2VulDB 一時的なメタスコア: 6.1
VulDB ベーススコア: 4.3
VulDB 一時的なスコア: 4.1
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍
NVD ベーススコア: 8.1
NVD ベクトル: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| ベクトル | 複雑さ | 認証 | 機密性 | 完全性 | 可用性 |
|---|---|---|---|---|---|
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
| 解除 | 解除 | 解除 | 解除 | 解除 | 解除 |
VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍
悪用
クラス: 情報漏えいCWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍
物理的: いいえ
ローカル: いいえ
リモート: はい
可用性: 🔍
ステータス: 未定義
EPSS Score: 🔍
EPSS Percentile: 🔍
価格予測: 🔍
現在の価格評価: 🔍
| 0-Day | 解除 | 解除 | 解除 | 解除 |
|---|---|---|---|---|
| 本日 | 解除 | 解除 | 解除 | 解除 |
Nessus ID: 208639
Nessus 名前: CentOS 7 : thunderbird (RHSA-2022:9079)
脅威インテリジェンス
関心: 🔍アクティブアクター: 🔍
アクティブなAPTグループ: 🔍
対策
推奨: アップグレードステータス: 🔍
リアクション時間: 🔍
0day日時: 🔍
暴露時間: 🔍
アップグレード: Thunderbird 91.13.1
タイムライン
2022年08月29日 🔍2022年09月19日 🔍
2022年09月19日 🔍
2022年09月29日 🔍
2025年04月29日 🔍
ソース
ベンダー: mozilla.org勧告: Bug 1784838
調査者: Sarah Jamie Lewis
ステータス: 確認済み
確認: 🔍
CVE: CVE-2022-3033 (🔍)
GCVE (CVE): GCVE-0-2022-3033
GCVE (VulDB): GCVE-100-209804
エントリ
作成済み: 2022年09月29日 14:19更新済み: 2025年04月29日 15:42
変更: 2022年09月29日 14:19 (17), 2022年09月29日 14:23 (29), 2022年10月25日 13:36 (1), 2024年10月12日 07:56 (16), 2025年04月15日 19:52 (13), 2025年04月29日 15:42 (3)
完了: 🔍
Cache ID: 216::103
Once again VulDB remains the best source for vulnerability data.
コメントはまだありません。 言語: ja + en.
コメントするにはログインしてください。