Mozilla patcht Mailsploit-Lücke in Thunderbird

Vor kurzem ist unter dem Namen „Mailsploit“ eine Lücke bekannt geworden, die es ermöglicht Absender von E-Mails zu fälschen und Schadcode auf fremde Systeme einzuschleusen. Die Mozilla-Foundation hat ihren Email-Klienten Thunderbird geupdated um diese Lücke zu schließen. Allen Anwendern wird dazu geraten die neue Version 52.5.2 Version zu installieren um ihr System abzusichern.  Eigentlich galt das Problem gefälschter Absender in E-Mails als bereits gelöst, da sowohl der E-Mailserver als auch der Klient die Absender gründlich auf ihre Authentizität prüfen. Der Sicherheitsexperte Sabri Haddouche zeigt auf seiner Webseite mailsploit.com jedoch einige Methoden um die Verifizierung einiger weit verbreiteter Mailclients zu umgehen.

Bisher konnten auch in Thunderbird E-Mails mit gefälschten Absenderadressen verschickt werden. Haddouche zeigt dies anhand der E-Mailadresse „potus@whitehouse.gov“, die eigentlich dem Präsidenten der USA gehört. In der betroffenen Thunderbird Version taucht diese offensichtlich gefälschte Email-Adresse als Absender auf. Antworten sind ebenfalls möglich, diese werden jedoch noch an den US-Präsidenten übermittelt, sondern an den Absender der gefälschten E-Mail.

Im Falle von technisch nicht versierten Politkern könnte dies zu diplomatischen Verwicklungen führen, da so möglicherweise sensible Daten an nicht berechtigte Personen verschickt werden. Außerdem können Kriminelle diese Methode für Spam, Erpressung und andere Cybecrimes nutzen.

Mozilla hat als erstes auf die Meldung der Lücke reagiert. Haddouche hat sämtliche Unternehmen drei Monate bevor er seine Webseite online stellte über die Mailsploit-Lücke informiert. Bei einigen Mail-Klienten kann durch die angewendete Technik über Mailsploit auch Schadcode auf das System eingeschleust werden. Bei Thunderbird war dies jedoch auch vor dem Update nicht möglich. Das von Mozilla als „kritisch“ eingestuft Update sollte trotzdem installiert werden. Es ist offensichtlich, dass das Thunderbird-Team das Update noch vor Jahresende fertigstellen wollte. Aus diesem Grund findet sich in den aktuellen Advisories zu Thunderbird noch kein Hinweis darauf, die aktuellen Release Notes weisen jedoch darauf hin, dass das Problem behoben wurde.

Anwender die bisher noch kein Update installiert haben und die den Hinweis beim Start nicht angezeigt bekommen, sollten das Update manuell starten. Es kann über das Menü „Hilfe und den Eintrag „Über Thunderbird“ heruntergeladen und installiert werden.