Mozilla Firefox and Thunderbird のuse-after-freeの脆弱性（CVE-2020-6820）

何が起きた

Firefox と Thunderbird で、ReadableStream（データを少しずつ読み込む仕組み）を扱うときに競合状態（処理の順番がずれる問題）が起き、use-after-free（解放済みのメモリを使ってしまう問題）につながる弱点が見つかりました。Mozilla は、この弱点を悪用した標的型の攻撃が実際に起きていることを把握していると説明しています。NVD の評価では、ネットワーク経由で、権限なしに悪用できるとされています。CISA によると、悪用された場合の影響の中身は明らかにされていません。

誰が影響を受ける

Firefox 74.0.1 より前、Firefox ESR 68.6.1 より前、Thunderbird 68.7.0 より前の版を使っている人・組織が対象です。Mozilla によると、Thunderbird ではメールを読むときにスクリプトが無効になっているため、一般にメール経由では悪用できませんが、ブラウザに近い使い方では危険があります。

何をすればいい

Firefox は 74.0.1 以降、Firefox ESR は 68.6.1 以降、Thunderbird は 68.7.0 以降に更新されているか確認します。あわせて、Mozilla の公式の案内（MFSA 2020-11 と MFSA 2020-14）を確認してください。

やることチェックリスト

• Firefox を 74.0.1 以降に更新する
• Firefox ESR を 68.6.1 以降に更新する
• Thunderbird を 68.7.0 以降に更新する

用語メモ

競合状態

複数の処理が同時に動くとき、実行の順番によって結果が変わってしまう問題です。

use-after-free

すでに使い終わって手放したメモリを、プログラムが誤ってもう一度使ってしまう問題です。

ESR

Firefox の延長サポート版のことで、主に企業や団体で長く同じ版を使うために提供されています。