BSI warnt: Thunderbird mit hochgefährlichen 7,8 Sicherheitslücken

B2B Cyber Security ShortNews

Beitrag teilen

Experten und Spezialisten haben in Thunderbird hochgefährliche Schwachstellen gefunden die nach CVSS mit dem Wert 7,8 als hochgefährlich gelten. Die Schwachstellen CVE-2023-34416 und CVE-2023-34414 beinhalten einen Speichersicherheitsfehler und erlauben Clickjacking. Ein Update auf die Version 102.12 beendet die Gefahr. 

Der beliebte E-Mail-Client Thunderbird hat zwei Schwachstellen die mit einem CVSS-Wert von 7,8 als hochgefährlich gelten. Auch das BSI hat die Sicherheitsinformation unter Nummer WID-SEC-2023-1414 mitgeteilt. Die Fehler sind einfach zu beheben. Es reicht ein Update auf die Thunderbird-Version 102.12 aus. Allerdings haben viele Nutzer und Unternehmen beim Thunderbird die Standardeinstellung nicht verändert. Dort steht das Update auf „Nach Updates suchen, aber vor der Installation nachfragen“. Oft wird der Hinweis auf das Update aber verschoben. Updates sollten automatisch installiert werden (Bei Extras/ Einstellungen/ Updates).

Anzeige

Clickjacking und Speichersicherheitsfehler

Die Fehlerbeschreibung von Thunderbird:

CVE-2023-34414: Clickjacking-Zertifikatausnahmen durch Renderverzögerung
Auf der Fehlerseite für Websites mit ungültigen TLS-Zertifikaten fehlte die Aktivierungsverzögerung, die Thunderbird verwendet, um Eingabeaufforderungen und Berechtigungsdialoge vor Angriffen zu schützen, die Verzögerungen bei der menschlichen Reaktionszeit ausnutzen. Wenn eine bösartige Seite den Benutzer unmittelbar vor dem Navigieren zu einer Website mit einem Zertifikatfehler zu Klicks an bestimmten Stellen auslöste und gleichzeitig den Renderer stark belastete, konnte zwischen dem Laden der Fehlerseite und dem tatsächlichen Aktualisieren der Anzeige eine Lücke entstehen. Mit dem richtigen Timing könnten die ausgelösten Klicks in dieser Lücke landen und die Schaltfläche aktivieren, die den Zertifikatsfehler für diese Site überschreibt.

CVE-2023-34416: Speichersicherheitsfehler
Die Mozilla-Entwickler und Community-Mitglieder Gabriele Svelto, Andrew McCreight, das Mozilla Fuzzing Team, Sean Feng und Sebastian Hengst haben über Speichersicherheitsfehler in Thunderbird 102.11 berichtet. Einige dieser Fehler zeigten Anzeichen einer Speicherbeschädigung und wir gehen davon aus, dass einige davon mit genügend Aufwand hätten ausgenutzt werden können, um beliebigen Code auszuführen.

Mehr bei Mozilla.org

 

Passende Artikel zum Thema

Oracle veröffentlicht im Januar 318 Sicherheitsupdates

Die Liste der 318 Sicherheitsupdates zeigt zwar nicht sofort die Risikobewertungen mit CVSS-Werten, aber ein Blick in die Beschreibungen zeigt ➡ Weiterlesen

Schwachstelle in Firewall von Fortinet

Ein Threat-Research-Team hat Anfang Dezember 2024 eine Kampagne mit verdächtigen Aktivitäten auf Fortinet FortiGate Firewall-Geräten beobachtet. Indem sie sich Zugang ➡ Weiterlesen

Ransomware & Co: Neue Malware-Machtverteilung 

Der aktuell ausgewertete Bedrohungsindex aus dem Dezember zeigt die Bedrohung durch FunkSec, eine Ransomware-Gruppe, die mit KI agiert. In Deutschland ➡ Weiterlesen

Trojaner Sliver-Implant zielt auf Unternehmen

Wie die Webseite Tarnkappe.info berichtet, zielt der Trojaner Sliver-Implant auf Unternehmen ab. In Windows Link-Dateien LNK versteckt sich Malware, die ➡ Weiterlesen

SAP Patches im Januar schließen kritische Lücken

SAP hat seine Januar-Liste mit Schwachstellen veröffentlicht, darunter zwei kritische mit dem CVSS-Wert 9.9 von 10, sowie drei hochgefährliche Lücken ➡ Weiterlesen

Hacker zielen verstärkt auf Bitcoin-Wallets

Kryptowährungen werden immer beliebter. Das ist auch Cyberkriminellen nicht entgangen. Seit ungefähr drei Jahren sind Crypto-Drainer im Umlauf, mit denen ➡ Weiterlesen

Moxa-Industrie-Switch mit kritischer 9.2 Schwachstelle

Der Anbieter von industriellen Switchen Moxa meldet in seinem Security-Advisory eine kritische Schwachstelle mit dem CVSS-Basis-Score 9.2 von 10. Per ➡ Weiterlesen

BSI: Zero-Day Angriffe auf Ivanti Connect Secure

Das BSI warnt: Es gibt kritische Schwachstellen Ivanti-Produkten Connect Secure (ICS), Policy Secure und ZTA Gateway. Dazu hat der Hersteller ➡ Weiterlesen