Magnus Melin

Thunderbird allowed feed subscriptions to file: URLs that point to a network share. If a user was tricked into subscribing to such a URL, Thunderbird connected to the attacker's server when fetching the feed. Windows then sent the user's NTLM credentials to that server. This bug only affects Thunderbird on Windows. Other operating systems are unaffected. This vulnerability was fixed in Thunderbird 160 and Thunderbird 153.7.

O Thunderbird carrega automaticamente o conteúdo de anexos de chaves OpenPGP para facilitar a importação de chaves. Um remetente pode marcar tal anexo como um anexo externo apontando para uma URL arbitrária, fazendo com que o aplicativo carregue a URL sem interação do usuário e ignorando o bloqueio de conteúdo remoto. No Windows, se a URL apontar para um compartilhamento de rede controlado por um invasor, as credenciais NTLM (um conjunto de protocolos de segurança usados para autenticação) do usuário podem ser vazadas. Em outros sistemas operacionais, isso permite uma solicitação remota não autorizada.

O Thunderbird aceita locais de calendário que apontam para servidores externos, arquivos locais ou compartilhamentos de rede durante a configuração da conta ou ao adicionar um novo calendário de rede. Um servidor malicioso ou um invasor de rede usando HTTP simples pode forçar o aplicativo a se inscrever nesses locais. No Windows, isso pode levar ao vazamento de credenciais NTLM para um host controlado por um invasor durante a atualização do calendário. Além disso, alterações no calendário podem ser gravadas no compartilhamento do invasor ou usadas para sobrescrever arquivos locais.

O Thunderbird não valida o endereço do homeserver recebido na resposta de login durante a autenticação de conta Matrix. Um homeserver comprometido ou malicioso pode fornecer uma URL `file:`, redirecionando as solicitações subsequentes da sessão para arquivos locais. Em sistemas Windows, isso pode ser usado para redirecionar solicitações para um compartilhamento de rede controlado por um invasor, resultando no vazamento de credenciais NTLM (New Technology LAN Manager) do usuário, que é um conjunto de protocolos de segurança usados para autenticação.

Durante a configuração da conta, a pesquisa do Exchange AutoDiscover envia uma solicitação não criptografada via HTTP simples para o serviço AutoDiscover do domínio. Uma falha faz com que essa solicitação inclua as credenciais inseridas pelo usuário, permitindo que um invasor de rede intercepte e obtenha a senha do usuário.

O Thunderbird não escapa valores de atributos ao serializar estantes XMPP de saída. Como os valores de requisições recebidas são ecoados em respostas automáticas, um usuário XMPP remoto pode enviar uma requisição manipulada para injetar estantes arbitrárias na conexão do usuário. O servidor então processa essas estantes como se tivessem sido enviadas pelo usuário, permitindo que o invasor envie mensagens ou altere configurações de contatos e assinaturas sem interação do usuário. Este problema afeta especificamente o recurso de chat utilizado com contas XMPP.

Nome do software vulnerável e versões afetadas: Versões do Thunderbird anteriores à 128.4.3 Versões do Thunderbird anteriores à 132.0.1 Descrição: O problema está relacionado ao uso de conteúdo remoto em mensagens criptografadas com OpenPGP, o que pode levar à divulgação de texto simples. Isso se deve à proteção insuficiente dos dados de serviço na implementação do padrão de criptografia de e-mail OpenPGP no cliente de e-mail Mozilla Thunderbird. Um invasor pode explorar essa vulnerabilidade para revelar informações protegidas. Recomendações: Para versões do Thunderbird anteriores à 128.4.3, atualize para a versão 128.4.3 ou posterior. Para versões do Thunderbird anteriores à 132.0.1, atualize para a versão 132.0.1 ou posterior. Como solução temporária, considere evitar o uso de conteúdo remoto em mensagens criptografadas com OpenPGP até que um patch esteja disponível.

O problema ocorre quando um invasor intercepta a tentativa inicial do Thunderbird de configurar uma conta automaticamente usando o mecanismo de descoberta automática do Microsoft Exchange. Se o invasor enviar uma resposta manipulada, o Thunderbird enviará o `nome de usuário` e a `senha` por https para um servidor controlado pelo invasor.