Mozilla hat nach seinem Firefox-Browser nun auch im Mailclient Thunderbird Sicherheitslücken geschlossen. Die beiden Sicherheitslücken ließen sich wie im Browser von Angreifern kombinieren.
Durch diese Kombination sei das Schadpotenzial deutlich höher einzuschätzen, dennoch hat Mozilla auch für die einzelnen Lücken die Einstufung “hoch” und “kritisch” getroffen. Im Thunderbird sei Skripting zwar standardmäßig beim Empfang von Mails deaktiviert, schreibt Mozilla in der Sicherheitswarnung, dadurch sei ein Exploit über E-Mails nicht möglich. Es gäbe aber Risiken in Verbindung mit Browsern und browser-ähnlichem Context, schreibt Mozilla.
Die Lücke mit der Kennung CVE-2019-11707 kann zum Absturz des Programms ausgenutzt werden. Das zweite Problem, CVE-2019-11708, lässt sich für einen Ausbruch aus der Sandboxumgebung ausnutzen. Eine Kombination der Lücken erlaubt eventuell das Ausführen von Code. Der aktualisierte Thunderbird 60.7.2 behebt beide Probleme.
