Thunderbird 102.2.1 ist jetzt verfügbar. Die neue Version des Open-Source-E-Mail-Clients behebt mehrere Sicherheitsprobleme in Thunderbird und enthält weitere Änderungen.
Das Sicherheitsupdate behebt mehrere Schwachstellen, die den integrierten Mechanismus zum Blockieren von Remote-Inhalten umgehen können.
Thunderbird 102.2.1 ist Ab sofort verfügbar als Update im Client und als eigenständiger Download von der offiziellen Projektwebsite. Bestehende Benutzer können Hilfe > Über Thunderbird auswählen, um die aktuelle Version anzuzeigen. Das Programm führt zu diesem Zeitpunkt eine automatische Suche nach Updates durch, um alle bei der Prüfung gefundenen neuen Versionen herunterzuladen und zu installieren.
Thunderbird 102.2.1
Auf der offiziellen Sicherheitshinweisseite werden vier verschiedene Sicherheitsprobleme aufgeführt, die in der neuen Version des E-Mail-Clients behoben wurden. Eines der Themen hat eine hohe Bewertung und die anderen drei eine mäßige Bewertung.
- CVE-2022-3033: Vertrauliche Informationslecks beim Verfassen einer Antwort auf eine HTML-E-Mail mit einem META-Update-Tag
- CVE-2022-3032: Remote-Inhalte, die in einem HTML-Dokument angegeben waren, das im srcdoc-Attribut eines Iframes verschachtelt war, wurden nicht blockiert
- CVE-2022-3034: Ein Iframe-Element in einer HTML-E-Mail könnte eine Netzwerkanfrage auslösen
- CVE-2022-36059: Das in Thunderbird enthaltene Matrix SDK ist anfällig für Denial-of-Service-Angriffe
Das als hoch eingestufte Sicherheitsproblem behebt das folgende Problem. E-Mails, die ein Meta-Tag mit http-equiv=“refresh“ und ein Inhaltsattribut enthalten, das eine URL angibt, könnten die Remote-Inhaltsblockierung des E-Mail-Clients umgehen, wenn ein Benutzer auf diese E-Mails antwortet.
Der Angreifer könnte es missbrauchen, um JavaScript-Code „im Kontext des Nachrichtenkompositionsdokuments“ auszuführen, wodurch der Bedrohungsakteur den Inhalt des Nachrichtenkompositionsdokuments lesen und ändern kann; Dazu könnte der entschlüsselte Inhalt einer verschlüsselten Nachricht gehören und diese Daten könnten an einen anderen Server übertragen werden.
Zwei der drei verbleibenden Schwachstellen betreffen auch Probleme bei der Umgehung von Remote-Inhaltsblockern. Die zweite Schwachstelle lud Remote-Objekte in eine HTML-E-Mail, die ein iframe-Element enthielt, und verwendete ein srcdoc-Attribut, um das interne HTML-Dokument zu definieren. Remote-Inhalte wie Bilder oder Videos könnten auf diese Weise von entfernten Standorten hochgeladen werden.
Der dritte Schritt behebt ein Problem mit HTML-E-Mails, das das Laden eines Iframes von einem Remotestandort aus vorsah. Die Anfrage wurde gesendet, Thunderbird zeigte das Dokument jedoch nie an.
Die vierte Schwachstelle behebt ein Problem im Matrix-Chat-Protokoll, das Thunderbird anfällig für Denial-of-Service-Angriffe machen könnte.
Weitere Änderungen
Er Offizielle Versionshinweise listet mehrere nicht sicherheitsrelevante Verbesserungen und Korrekturen im E-Mail-Client auf. Die einzige neue Funktion in Thunderbird 102.2.1 ist der Startparameter -calendar, um den Kalender beim Starten des E-Mail-Clients zu laden.
Die einzige Änderung besteht darin, dass während der Kontoeinrichtung eine Schaltfläche „Jetzt“ angezeigt wird, um automatisch erkannte Adressbücher und Kalender zu verbinden.
Es werden mehr als ein Dutzend Korrekturen aufgeführt. Sie beheben eine Vielzahl von Problemen, darunter Probleme bei der Wiederherstellung von Pop-E-Mails nach Netzwerkfehlern und -wiederherstellungen, Probleme beim Exportieren eines Profils oder Probleme beim Aktualisieren der E-Mail-Kontingentfarben.
Jetzt du: Thunderbird 102, immer noch die alte Version oder etwas ganz anderes für E-Mails?
Werbung
