BigSig-Sicherheitslücke in Thunderbird 91.4.0 behoben

Thunderbird 91.4.0 schließt eine schon lange existierende Sicherheitslücke, die erst kürzlich entdeckt wurde. Diese als "BigSig" getaufte Sicherheitslücke befand sich in den bisherigen Versionen der Mozilla Network Security Services (NSS), die von Thunderbird und auch einigen anderen Anwendungen wie LibreOffice etc. verwendet werden.

Kritisch an der BigSig-Sicherheitslücke ist, dass diese in Thunderbird bereits schon beim Empfang einer S/MIME-signierten E-Mail ausgenutzt werden kann. Der Anwender hat keine Chance dem Problem zuvorzukommen, da seine Interaktion für das Ausnutzen der Lücke nicht notwendig ist und wohl auch keine Einstellungen getroffen werden können, um das Ausnutzen der Sicherheitslücke zu verhindern.

Für Anwender der älteren Versionsreihen bis hin zu 78.14.0 sind keine Updates innerhalb dieser älteren Versionsreihen mehr zu erwarten, da dies seitens des Herausgebers MZLA leider technisch nicht mehr möglich ist. Denkbar sind in der 78er-Versionsreihe lediglich noch aktualisierte und somit reparierte Pakete für Linux-Systeme. Die Sicherheitslücke macht es also für einen Großteil der Thunderbird-Anwender notwendig, Thunderbird auf Version 91.4.0 oder neuer zu aktualisieren.