Mit dem Update auf Version 68.4.1 des E-Mail-Programms Thunderbird schließt Mozilla mehrere Sicherheitslücken. Darunter auch solche mit kritischem und hohem Risiko eingestufte.
Insgesamt stehen sieben geschlossene Sicherheitslücke auf dem Zettel von Thunderbird 68.4.1. Das Bundesamt für Sicherheit in der Informationstechnik hatte bereits eine Warnung deswegen ausgesprochen und bezieht sich auf das Security Advisory von Mozilla. In diesem Advisory bezeichnet Mozilla eine der Lücken als kritisch und eben diese werde bereits aktiv ausgenutzt. Sie steckt im IonMonkey JIT Compiler. Ein Angreifer kann darüber aus der Ferne einen Speicherfehler ausnutzen und Code einschleusen.
Eine weitere Lücke ist nur für Windows-Installationen relevant. Daneben sind noch drei weitere mit hohem Risiko genannt, die jeweils Angriffe zulassen. Beteiligt sind daran etwa der CSS-Sanitizer, der fehlerhaft arbeitet und auch eine fehlerhafte Objekterkennung.
Zudem ist eine weitere Lücke dabei, die Speicherfehler ausnutzt und damit ebenfalls das Potenzial hat, dass Angreifer darüber beliebigen Code ausführen können.
Mozilla betont, dass sich die Lücken allesamt aber nicht direkt im Mail-Client direkt ausnutzen lassen, weil dort das Scripting standardmäßig deaktiviert sei. In Browsern oder Browser-Kontexten seien die Lücken aber ausnutzbar. Das funktioniert etwa, wenn eine Website über einen Link in einer Mail geöffnet wird. Der technische Sicherheitshinweis des BI empfiehlt deshalb dringend ein Update auf die Thunderbird-Version 68.4.1, da die Vorgängerversionen von den Fehlern betroffen sind. Das Advisory von Mozilla nennt weitere Details. Die aktuelle Thunderbird-Version sollte bei den jeweiligen Linux-Distributionen bereits in neuer Version vorliegen. Das Mailprogramm bringt neben der Security-Updates auch noch weitere Fehlerbereinigungen mit.
