VDB-209930 · CVE-2022-28289 · EUVD-2022-32741

Mozilla Thunderbird 迄 91.7 メモリ破損

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
7.4	$5k-$25k	0.00

要約情報

Mozilla Thunderbird 迄 91.7内に重大として分類された脆弱性が発見されました。影響を受けるのは不明な関数です。引数の操作が、メモリ破損をもたらします。この脆弱性は CVE-2022-28289 として扱われます。攻撃はリモートで開始される可能性が高いです。該当するコンポーネントのアップグレードを推奨します。

Mozilla Thunderbird 迄 91.7内に重大として分類された脆弱性が発見されました。影響を受けるのは不明な関数です。引数の操作が、メモリ破損をもたらします。 CWEによる問題の宣言は、CWE-119 につながります。この弱点は発表されました 2022年04月05日 Nika Layzell, Andrew McCreight and Gabriele Sveltoによって Memory safety bugs fixed in Thunderbird 91.8として勧告として（ウェブサイト）。アドバイザリーは bugzilla.mozilla.org で共有されています。開示内容は以下の通りです：

Mozilla developers and community members Nika Layzell, Andrew McCreight, Gabriele Svelto, and the Mozilla Fuzzing Team reported memory safety bugs present in Thunderbird 91.7. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code.

この脆弱性は CVE-2022-28289 として扱われます。攻撃はリモートで開始される可能性が高いです。技術的な詳細は利用できません。この脆弱性の普及度は平均未満です。現在の時点で、エクスプロイトの価格はおおよそUSD $5k-$25kかもしれません。

未定義として宣言されています。 0dayにはおよそ $25k-$100k の価値があったと予想しています。脆弱性スキャナーNessusはID【208650 (CentOS 7 : thunderbird (RHSA-2022:1302))】のプラグインを提供しています。不具合の有無をターゲット環境にて判定できます。

バージョン91.8にアップグレードすることで、この問題に対処できます。該当するコンポーネントのアップグレードを推奨します。脆弱性が公開されてからすぐに後に、対策が発表されました。

この脆弱性は他の脆弱性データベースにも記載されています: Tenable (208650).