Thunderbird 2.0.0.23 schließt SSL-Lücke

Angreifer könnten durch falsche Zertifikate ein Update vortäuschen oder verschlüsselte Informationen wie Zugangsdaten oder Passwörter auslesen. In Firefox 3 und 3.5 wurde die Schachstelle bereits geschlossen.

Mozilla Messaging^[1] hat Version 2.0.0.23 seines E-Mail-Clients Thunderbird freigegeben. Das Update schließt eine kritische Sicherheitslücke, die im Zusammenhang mit der Authentifizierung durch Zertifikate steht.

Die von Dan Kaminsky entdeckte SSL-Schwachstelle hatte Mozilla vor gut zwei Wochen bereits in seinem Firefox-Browser^[2] geschlossen. Ein Angreifer könnte dadurch Zugang zu verschlüsselten Informationen bekommen (Passwörtern, Zugangsdaten etwa für Onlinebanking und dergleichen) oder ein falsches Update einspielen. Details zu der Sicherheitslücke liefert der offizielle Fehlerbericht^[3] von Mozilla.

Thunderbird 2.0.0.23^[4] steht ab sofort für die Betriebssysteme Windows, Mac OS X und Linux zum kostenlosen Download bereit. Nutzer des E-Mail-Clients sollten das Update schnellstmöglich installieren.

URLs in diesem Artikel:
[1] = http://www.mozillamessaging.com/en-US/
[2] = http://www.zdnet.de/news/wirtschaft_sicherheit_security_mozilla_patcht_zwei_kritische_loecher_in_firefox_authentifizierung_story-39001024-41500952-1.htm
[3] = http://www.mozilla.org/security/announce/2009/mfsa2009-42.html
[4] = http://www.mozillamessaging.com/en-US/thunderbird/all.html