Thunderbird 102.2.1 är nu tillgängligt. Den nya versionen av e-postklienten med öppen källkod fixar flera säkerhetsproblem i Thunderbird och inkluderar andra ändringar.
Säkerhetsuppdateringen åtgärdar flera sårbarheter som kan kringgå den inbyggda fjärrblockeringsmekanismen för innehåll.
Thunderbird 102.2.1 är Nu tillgänglig som en uppdatering i klienten och som en fristående nedladdning från den officiella projektwebbplatsen. Befintliga användare kan välja Hjälp > Om Thunderbird för att visa den aktuella versionen. Programmet kör en automatisk kontroll efter uppdateringar vid denna tidpunkt för att ladda ner och installera alla nya versioner som hittas under kontrollen.
Thunderbird 102.2.1
Den officiella säkerhetsrådgivningssidan listar fyra olika säkerhetsproblem som är åtgärdade i den nya versionen av e-postklienten. Ett av ämnena har ett högt betyg och de andra tre har ett måttligt betyg.
- CVE-2022-3033: Känslig informationsläcka när du skriver ett svar på ett HTML-e-postmeddelande med en META-uppdateringstagg
- CVE-2022-3032: Fjärrinnehåll specificerat i ett HTML-dokument kapslat i srcdoc-attributet för en iframe blockerades inte
- CVE-2022-3034: Ett iframe-element i ett HTML-e-postmeddelande kan utlösa en nätverksbegäran
- CVE-2022-36059: Matrix SDK som ingår i Thunderbird är sårbar för överbelastningsattacker
Säkerhetsproblemet med hög betyg löser följande problem. E-postmeddelanden som innehåller en metatagg med http-equiv=”refresh” och ett innehållsattribut som anger en URL kan kringgå e-postklientens fjärrinnehållsblockering när en användare svarar på dessa e-postmeddelanden.
Angriparen kan missbruka den för att exekvera JavaScript-kod i “sammanhanget med meddelandesammansättningsdokumentet”, vilket gör att hotaktören kan läsa och ändra innehållet i meddelandesammansättningsdokumentet; Detta kan inkludera det dekrypterade innehållet i ett krypterat meddelande och dessa data kan överföras till en annan server.
Två av de tre återstående sårbarheterna adresserar även problem med förbikoppling av fjärrinnehållsblockering. Den andra sårbarheten laddade fjärrobjekt till ett HTML-e-postmeddelande som innehöll ett iframe-element och använde ett srcdoc-attribut för att definiera det interna HTML-dokumentet. Fjärrinnehåll, som bilder eller videor, kan laddas upp på det sättet från avlägsna platser.
Den tredje åtgärdar ett problem med HTML-e-postmeddelanden som angav att en iframe skulle laddas från en fjärrplats. Förfrågan skickades men Thunderbird visade aldrig dokumentet.
Den fjärde sårbarheten åtgärdar ett problem i Matrix-chattprotokollet, vilket kan göra Thunderbird sårbart för överbelastningsattacker.
Andra förändringar
han officiella release notes listar flera icke-säkerhetsrelaterade förbättringar och korrigeringar i e-postklienten. Den enda nya funktionen i Thunderbird 102.2.1 är startparametern -calendar för att ladda kalendern när e-postklienten startas.
Den enda ändringen visar en nu-knapp under kontoinställningen för att ansluta automatiskt upptäckta adressböcker och kalendrar.
Mer än ett dussin korrigeringar är listade. De löser ett brett spektrum av problem, inklusive återställningsproblem för pop-e-post efter nätverksfel och återställning, problem med att exportera en profil eller problem med att uppdatera e-postkvotens färger.
Nu du: Thunderbird 102, fortfarande den gamla versionen eller något helt annat för e-post?
Annons
