Ciberseguridad

Mozilla ha lanzado una nueva actualización para su popular cliente de correo electrónico Thunderbird, para las plataformas de escritorio de Windows, Linux y macOS.

Thunderbird es uno de los principales clientes de correo electrónico multiplataforma de código abierto y libre, a pesar de que la mayoría de las actualizaciones enviadas por Mozilla no ofrecen más que correcciones de errores y pequeñas mejoras, en esta ocasión han publicado dos mejoras diferentes.

La primera ha solucionado un error al eliminar la solicitud de PIN de tarjeta inteligente cuando se usó la firma S/MIME, esto no es algo que pueda experimentar un usuario doméstico, pero los refinamientos siempre son bienvenidos, especialmente porque mejoran la confiabilidad general de la aplicación.

Por otro lado, han corregido 4 fallos de seguridad, de los cuales 3 han sido clasificados de gravedad alta.

• CVE-2019-11703: Desbordamiento de memoria en icalparser.c
  Una falla en la implementación de iCunder en Thunderbird, provoca un desbordamiento de memoria en parser_get_next_char cuando se procesan ciertos mensajes de correo electrónico, lo que resulta en una falla que podría permitir la ejecución de código remoto.
  
  
• CVE-2019-11704: Falta de comprobación de límites en icalvalue.c
  Una falla en la implementación de iCunder por parte de Thunderbird provoca un desbordamiento de memoria en icalmemory_strdup_and_dequote cuando se procesan ciertos mensajes y la cadena de entrada finaliza con el carácter ‘\’ podría provocar la lectura y escritura fuera de límites de la memoria, de referencia a puntero nulo, y corrupción de la memoria. La explotación exitosa de este fallo de seguridad podría permitir la ejecución de código remoto.
  
  
• CVE-2019-11705: Una validación incorrecta en icalrecur.c
  Una falla en la implementación de iCunder por parte de Thunderbird provoca un desbordamiento de memoria en icalrecur_add_bydayrules cuando se procesan ciertos mensajes de correo, lo que resulta en una falla potencialmente explotable.
  
  
• CVE-2019-11706: Confusión de tipos en icalproperty.c
  Una falla en la implementación de iCal en Thunderbird causa una confusión de tipos en icaltimezone_get_vtimezone_properties al analizar un archivo adjunto de calendario con formato incorrecto podría ser aprovechada para revelar información sensible.

Los errores de desbordamiento de memoria pueden provocar una falla potencialmente explotable, mientras que el problema de la confusión de tipos solo puede cerrar la aplicación sin ningún otro daño. Las tres primeras CVE mencionadas anteriormente han recibido una calificación de severidad alta, mientras que la cuarta tiene un impacto bajo.

Evidentemente la solución es bastante básica: actualizar Thunderbird. Simplemente con esto ya habremos corregido todas las vulnerabilidades que han sido resueltas hasta este momento. Esto es muy importante que lo hagamos en todas las aplicaciones que utilicemos.