Die Mozilla-Foundation hat zu Weihnachten Version 52.5.2 ihres Email-Programms Thunderbird veröffentlicht. Das Update schliesst die kürzlich als „Mailsploit“ bekannt gewordene Lücke, durch die sich die Absender von Emails fälschen lassen.

Bis Mailsploit sind solche Tricks für nicht mehr nutzbar erachtet worden, weil sowohl die Mail-Server als auch die Mail-Clients die Absender inzwischen gründlicher überprüfen.

Aber der Sicherheitsforscher Sabri Haddouche zeigt auf seiner nach diesem Bug benannten Internetseite auf, dass sich die Mechanismen zur Verifizierung auf vielen der Email-Clients umgehen lassen.

Email vom Präsidenten (potus@whitehouse.gov)

Zu den verwundbaren Email-Programmen gehörte bisher auch Mozillas Thunderbird, was Haddouche durch die Benutzung der Adresse „potus@whitehouse.gov“, also dem Account des US-Präsidenten, als Absender demonstrierte.

In den von Mailsploit betroffenen Clients erscheint diese Adresse dann sichtbar, und es lässt sich auch darauf antworten – allerdings nicht wirklich an Donald J. Trump, sondern an den wirklichen Absender der gefälschten Email.

Dies plakative Beispiel einer gefaketen Emailadresse kann zumindest diplomatische Verwicklungen hervorrufen, wenn zum Beispiel ein Politiker unbedarft glaubt, sich mit dem echten Donald J. Trump auszutauschen. Dummerweise öffnet diese Lücke natürlich auch Tür und Tor für Spam, Erpressung und anderen kriminelle Handlungen.

Das Update auf Thunderbird 52.5.2

Sabri Haddouche hatte den Fehler drei Monate vor seiner Veröffentlichung dazu an die Hersteller gemeldet, und als einer der ersten betroffenen reagiert jetzt Mozilla mit seinem Update.

Durch die genutzte Angriffstechnik kann über Mailsploit prinzipiell sogar auch Schadcode in Mail-Clients eingeschleust werden. Das war bei Thunderbird aber nicht der Fall. Das Update lohnt sich aber auf alle Fälle.

Offensichtlich wurde  es ziemlich eilig noch vor dem Jahreswechsel herausgegeben, denn der Hinweis ist noch nicht in den Advisories zu Thunderbird zu finden, in den aktuellen Release Notes allerdings schon. Mozilla stuft Mailsploit an dieser Stelle als „kritisch“ ein.

Hinweise des Programms auf seine neue Version 52.5.2 sollte man also besser nicht einfach ignorieren. Sollte beim nächsten Start von Thunderbird kein Update-Hinweis erscheinen, kann man das Update auch über den Thunderbird-Menüpunkte „Hilfe“ und den Eintrag „Über Thunderbird“ mit einem Mausklick starten.