Thunderbird 140.4 Security Update: 8 CVEs Fixed (UAF, Memory Corruption, XSS)

主要脆弱性情報 脆弱性情報概要 発表日: 2025年10月14日 影響製品: Thunderbird 修正バージョン: Thunderbird 140.4 脆弱性の詳細 CVE-2025-11708: MediaTrackGraphImpl::GetInstance() におけるUse-after-free 報告者: Jann Niklas Hausmann 影響度: 高 説明: MediaTrackGraphImpl::GetInstance() で Use-after-free の脆弱性が確認されています。 CVE-2025-11709: WebGL テクスチャによる特権プロセスメージの境界外読み書き 報告者: Ciskar L 影響度: 高 説明: 悪意のある Web ページ プロセスは、操作された WebGL テクスチャを利用して、より特権のあるプロセスメージで境界外読み書きを引き起こす可能性があります。 CVE-2025-11710: 悪意のある IPC メッセージによるプロセス間情報漏洩 報告者: Ciskar L 影響度: 高 説明: 悪意のある Web ページ プロセスによる mainloop IPC メッセージの使用により、特権のあるブラウザ プロセスが侵害されたプロセスへメモリブロックを漏洩させる可能性があります。 CVE-2025-11711: 一部の不変オブジェクト属性の修正可能性 報告者: EnryYu 影響度: 高 説明: JavaScript オブジェクト内、書き込み不可として想定される属性の値を変更できます。 CVE-2025-11712: CONTENT 属性の指定不要で OBJECT タグのタイプ属性がブラウザ動作を上書き 報告者: Masato Kinugawa 影響度: 中 説明: 悪意のあるページは、コンテンツ タイプを持たない Web リソースに出会った際、OBJECT タグの type 属性を使用してデフォルトのハンドラーを上書きできます。 CVE-2025-11713: 「cURL としてコピー」コマンドにおける潜在的なユーザー補助コード実行 報告者: Haifich 影響度: 中 説明: 「cURL としてコピー」機能における不十分なエスケープ処理が、Windows 環境においてユーザーに意図せぬコードの実行を誘発するために悪用される可能性があります。 CVE-2025-11714: Firefox ESR 115.29、Firefox ESR 140.4、Thunderbird ESR 140.4、Firefox 144、Thunderbird 144 で修正されたメモリ安全脆弱性 報告者: Mozilla Fuzzing Team 影響度: 高 説明: メモリ損壊の証拠を示すメモリ安全脆弱性があり、任意のコードを実行するために悪用される可能性があります。 CVE-2025-11715: Firefox ESR 140.4、Thunderbird ESR 140.4、Firefox 144、Thunderbird 144 で修正されたメモリ安全脆弱性 報告者: Mozilla Fuzzing Team 影響度: 高 説明: メモリ損壊の証拠を示すメモリ安全脆弱性があり、任意のコードを実行するために悪用される可能性があります。

目標達成 すべての支援者に感謝 — 100%達成しました！

Thunderbird 140.4 Security Update: 8 CVEs Fixed (UAF, Memory Corruption, XSS)

目標達成すべての支援者に感謝 — 100%達成しました！