Mozilla Thunderbird 91.3 lanzado para corregir fallas de alto impacto

Mozilla lanzó Thunderbird 91.3 para corregir varias vulnerabilidades de alto impacto que pueden causar una denegación de servicio, falsificar el origen, eludir las políticas de seguridad y permitir la ejecución de código arbitrario.

La activación de la mayoría de los errores recién descubiertos requiere que el usuario abra un sitio web especialmente diseñado en un contexto de navegación, por lo que la explotación es relativamente simple.

Múltiples defectos de alta gravedad

Mozilla Thunderbird 91.3 corrige diez fallas descubiertas por  varios investigadores  que cubren un amplio espectro de la funcionalidad del cliente de correo electrónico.

- CVE-2021-38503: restricciones de omisión de iframe que permiten la ejecución de scripts
- CVE-2021-38504: user-after-free en el cuadro de diálogo del selector de archivos, lo que provoca daños en la memoria y un bloqueo potencialmente explotable
- CVE-2021-38505: Grabación de datos confidenciales del Portapapeles en la nube de Windows 10, copia de datos confidenciales del usuario a la cuenta de Microsoft del usuario, lo que aumenta el riesgo de divulgación de información.
- CVE-2021-38506: Obligar a Thunderbird a entrar en modo de pantalla completa sin la interacción del usuario, lo que prepara el terreno para ataques de suplantación de identidad y suplantación de identidad (phishing).
- CVE-2021-38507: Omita la 'Política del mismo origen' aprovechando la función de cifrado oportunista.
- CVE-2021-38508: capacidad de superponer la solicitud de permiso para engañar al usuario para que otorgue cualquier permiso.
- CVE-2021-38509: Simula el diálogo de alerta de JavaScript () con contenido arbitrario.
- CVE-2021-38510: Omita las 'protecciones de descarga' en archivos .inetloc, lo que permite la ejecución de código en macOS.
- MOZ-2021-0008: Use-after-free en el objeto de sesión HTTP2, lo que provoca daños en la memoria y posiblemente un bloqueo explotable.
- MOZ-2021-0007: defectos de corrupción de memoria que pueden provocar la ejecución de código arbitrario.

Una vulnerabilidad rastreada como CVE-2021-38505 es de particular interés ya que está relacionada con el Portapapeles en la nube de Windows 10.

La función de portapapeles en la nube de Windows 10 se introdujo en 2018 y, si está habilitada, sincronizará los datos que copie al portapapeles en la nube, por lo que estará disponible en otros dispositivos en los que tenga una cuenta.

Para evitar que los datos confidenciales se sincronicen con la nube, Microsoft introdujo formatos de portapapeles específicos que Windows no copiaría en la nube. Sin embargo, Thunderbird y Mozilla no utilizaron esos formatos, lo que podría permitir la sincronización de datos confidenciales.

"Microsoft introdujo una nueva característica en Windows 10 conocida como Cloud Clipboard que, si está habilitada, registrará los datos copiados en el portapapeles en la nube y los hará disponibles en otras computadoras en ciertos escenarios", explicó Mozilla.

"Las aplicaciones que desean evitar que los datos copiados se registren en el historial de la nube deben usar formatos de portapapeles específicos; y Firefox antes de las versiones 94 y ESR 91.3 no los implementaron. Esto podría haber causado que los datos confidenciales se registraran en la cuenta de Microsoft de un usuario".

Debido a la gravedad de las fallas anteriores, la actualización del popular cliente de correo electrónico a la versión 91.3 o posterior debe realizarse lo antes posible.

Para actualizar a la última versión de inmediato, abra Thunderbird, haga clic en el menú de la aplicación y seleccione Ayuda > Acerca de Thunderbird . Desde allí, se le ofrecerá la opción de descargar e instalar la última versión disponible.

Ubuntu también ha publicado un aviso de seguridad para Thunderbird por las fallas que conciernen a la distribución de Linux, y se ha puesto a disposición un paquete actualizado en el repositorio estable.

Actualizar a 91.x rezagado

Las últimas estadísticas de Mozilla muestran que  solo el 65%  de los usuarios de Thunderbird se han actualizado a 91.x, y el resto sigue usando versiones más antiguas, no compatibles y ahora vulnerables.

Hace un mes, Mozilla forzó una actualización de 78.xa 91.x, para asegurarse de que todos estén ejecutando la última versión estable del cliente de correo electrónico.

Sin embargo, debido a problemas de incompatibilidad de complementos entre las dos versiones principales, muchos usuarios han optado por permanecer en 78.x, que desde una perspectiva de seguridad, se está volviendo cada vez más riesgoso.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta