Thunderbird waarschuwt voor lek dat datadiefstal via e-mail mogelijk maakt

[Captain Kirk]

De ontwikkelaars van de populaire e-mailclient Thunderbird waarschuwen voor een kwetsbaarheid waardoor aanvallers gevoelige informatie kunnen stelen, zoals de inhoud van e-mails. Gebruikers worden opgeroepen om de beschikbaar gestelde update zo snel mogelijk te installeren. Het komt zelden voor dat Thunderbird een dergelijke waarschuwing aan gebruikers geeft.

Het lekken van gevoelige informatie (CVE-2022-3033) is volgens Thunderbird mogelijk wanneer gebruikers op een speciaal geprepareerde html-mail reageren, ook wanneer de e-mailclient staat ingesteld om remote content te blokkeren. Bij het antwoord op een dergelijke e-mail kan er JavaScript in de context van opgestelde berichten worden uitgevoerd.

Zo zou een aanvaller verschillende acties kunnen uitvoeren, waaronder het lezen of aanpassen van de inhoud van het bericht. Het zou hierbij om ontsleutelde tekst van een versleutelde mail kunnen gaan. Daarbij zou de inhoud vervolgens naar een opgegeven server kunnen worden verstuurd. Het probleem doet zich niet voor bij gebruikers die voor de weergave van berichten "plain text" of "simple html" gebruiken. Alle gebruikers worden aangeraden om te updaten naar Thunderbird 102.2.1

 

bron: https://www.security.nl