Mozilla hat die Version 156 seines quelloffenen E-Mail-Clients Thunderbird freigegeben. Die Aktualisierung schließt insgesamt 75 Sicherheitslücken und bringt praktische Verbesserungen für die Kontoverwaltung, moderne Anmeldeverfahren sowie die Verschlüsselung via OpenPGP mit.
Dringendes Sicherheitsupdate beseitigt 28 schwere Schwachstellen
Dass die Liste der behobenen Fehler diesmal ungewöhnlich lang ausfällt, liegt an einer Umstellung bei Mozilla: Intern gefundene Speicherfehler (Memory Safety) erhalten nun wie schon bei Firefox 156 jeweils eigene CVE-Kennungen, statt wie früher unter einem Sammelbeintrag zusammengefasst zu werden.
Von den 75 geschlossenen Lücken stuft Mozilla 28 mit dem Schweregrad „hoch“ ein. Die Fehler betreffen unter anderem Web Codecs, die Grafik-Engine CanvasWebGL, Barrierefreiheits-Schnittstellen sowie die WebExtensions. Mehrere der Schwachstellen hätten Angreifern ermöglicht, aus der Sicherheits-Sandbox im Grafikbereich oder aus DOM Core & HTML auszubrechen oder erweiterte Rechte auf dem System zu erlangen. Nutzer sollten das Update daher zeitnah einspielen.
Mehr Flexibilität bei OAuth und OpenPGP
Neben Sicherheitskorrekturen liefert Thunderbird 156 funktionale Neuerungen für Mail-Konten. Für IMAP- und POP3-Postfächer können Nutzer ab sofort benutzerdefinierte OAuth-Konfigurationen mit Aussteller-ID und Client-Secret hinterlegen. OAuth bezeichnet ein standardisiertes Autorisierungsverfahren, bei dem Anwendungen ohne direkte Passworteingabe auf Dienste zugreifen können. Bei Yandex-Konten unterstützt Thunderbird nun die Authentifizierung über einen externen Webbrowser, und auch die OAuth-Einrichtung für Microsoft-Exchange-Konten funktioniert wieder fehlerfrei.
Beim Einsatz von OpenPGP zur Ende-zu-Ende-Verschlüsselung geben die Schlüsseleigenschaften bei Bedarf jetzt Debug-Daten in der internen Fehlerkonsole aus. Zudem scheitern Signaturen über ein externes GnuPG nicht mehr, falls der primäre Schlüssel nicht selbst zum Signieren ausgelegt ist.
Neue Richtlinien für Firmen und bereinigte Dateifehler
Für Administratoren in Unternehmensumgebungen führt Mozilla drei neue Richtlinien ein:
DisableUpdateSettings: Unterbindet manuelle Änderungen an den Einstellungen für Software-Updates.DisableDataCollectionSettings: Schützt die Vorgaben zur Datenerfassung vor Veränderungen durch Endanwender.DisableMessageForwardingFilters: Verhindert, dass Anwender automatische Weiterleitungen über Nachrichtenfilter einrichten.
Zahlreiche Korrekturen widmen sich dem Umgang mit Anhängen und Postfachordnern. Bislang konnte das Öffnen von PDF-Dateien zu leeren Tabs führen, oder Entwurfs-PDFs wurden irrtümlich als HTML interpretiert. Auch Probleme beim gleichzeitigen Löschen oder Abtrennen aller Anhänge sowie Darstellungsfehler bei POP3-Ordnernamen mit mehr als 55 Zeichen wurden behoben.
Verfügbarkeit und Update-Vorgehen
Thunderbird 156 steht ab sofort zur Verfügung. Das Update wird in der Regel automatisch über die integrierte Aktualisierungsfunktion verteilt, lässt sich aber auch über das Hilfemenü unter „Über Thunderbird“ manuell anstoßen. Für Arbeitsumgebungen stehen parallel die abgesicherten Versionen mit verlängertem Support (Thunderbird 153.3.0 ESR und Thunderbird 140.16 ESR) bereit.
Quellen: Computerbase.de/news
