Mozilla、「Thunderbird」にアップデート - ゼロデイ脆弱性を解消

Mozilla Foundationは、メーラー「Thunderbird」に深刻な脆弱性が明らかになったとしてアップデートを呼びかけた。すでに悪用も確認されている。

アニメーションタイムラインの処理に判明した解放後のメモリを使用する「Use After Free」の脆弱性「CVE-2024-9680」の影響を受けることを明らかにしたもの。コンテンツのプロセスにおいてコードを実行されるおそれがあるという。

先にウェブブラウザ「Firefox」が同脆弱性の影響を受けることが公表されており、脆弱性を悪用する攻撃も確認されているという。

メール読み取り時にスクリプトは無効化されており、「Thunderbird」でメールを介して脆弱性を悪用されることはないと説明。ただし、ブラウザなどを通じて開いた場合に悪用されるおそれがある。

開発チームでは、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティング。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」と評価されている。

「Thunderbird 131.0.1」「同128.3.1」「同115.16.0」にて修正されており、アップデートが呼びかけられている。

（Security NEXT - 2024/10/15 ）ツイート