Thunderbird 156: Erweiterte Funktionen rund um Konten, OAuth und Open­PGP

Nach Firefox 156 hat Mozilla auch Thunderbird in Version 156 veröffentlicht. Das Update schließt eine große Zahl an Sicherheitslücken, bringt aber ebenso zahlreiche funktionale Verbesserungen mit. Überarbeitet wurden insbesondere die Verwaltung von Konten, OAuth und OpenPGP sowie der Umgang mit Ordnern und Anhängen.

Neue Richtlinien für Unternehmen

Bei OpenPGP können die Schlüsseleigenschaften mit Thunderbird 156 nun Debug-Informationen in die Fehlerkonsole schreiben, für Yandex unterstützt der E-Mail-Client außerdem die Anmeldung über einen externen Browser. Bei IMAP- und POP3-Konten lässt sich ab sofort benutzerdefiniertes OAuth mit Aussteller-ID und Client-Secret verwenden; zugleich wurde die Unterstützung für benutzerdefiniertes OAuth auf POP3 ausgeweitet.

Mehr Kontrolle erhalten auch Unternehmen, denen Mozilla drei neue Richtlinien zur Verfügung stellt. DisableUpdateSettings verhindert Änderungen an den Update-Einstellungen, während DisableDataCollectionSettings die Konfiguration der Datenerfassung vor Änderungen schützt. Mit DisableMessageForwardingFilters lässt sich wiederum das automatische Weiterleiten von E-Mails über Nachrichtenfilter unterbinden, darüber hinaus wurde die Einstellung mail.offer_experimental_features in mail.experimental_features_settings.enabled umbenannt. Das integrierte Thundermail-Add-on wird mit dem Update ebenfalls aktualisiert und liegt nun in Version 2.0.11 vor.

Update legt Fokus auf Fehlerkorrekturen

Einen weiteren Schwerpunkt bilden Fehlerkorrekturen rund um Ordner und Anhänge. Links zu abgetrennten Anhängen wurden bislang abgeschnitten, wenn der zugehörige Ordnerpfad ein „&“-Zeichen enthielt. Beim Öffnen eines PDF-Anhanges konnte zudem lediglich ein leeres Tab erscheinen, während PDF-Anhänge aus dem Verfassen-Fenster mitunter fälschlicherweise als HTML erkannt wurden. Auch die Funktionen zum Speichern, Abtrennen und Löschen aller Anhänge konnten unter bestimmten Umständen ihren Dienst versagen, nachdem zuvor ein einzelner Anhang gelöscht worden war. Mit Thunderbird 156 sollen diese Probleme der Vergangenheit angehören.

Weitere Korrekturen betreffen die Ordnerverwaltung von POP3-Postfächern. Ordner mit Bezeichnungen von mehr als 55 Zeichen konnten nach einem Update doppelt auftauchen, während Ordner mit für Dateinamen unzulässigen Zeichen nach einem Verlust des Caches mitunter Hash-Namen anstelle ihrer eigentlichen Bezeichnung anzeigten. Beim Umbenennen eines Ordners konnten darüber hinaus dessen Einstellungen zurückgesetzt werden. Ein Fehler bei IMAP führte wiederum dazu, dass beim gleichzeitigen Abonnieren eines Ordners und eines Unterordners das Abonnement des Unterordners fehlschlug. Auch diese Fehler will Mozilla mit der neuen Version beseitigt haben.

Nachgebessert wurde ebenso bei Verschlüsselung und Signatur. OpenPGP-Signaturen mit externem GnuPG sollten nicht länger fehlschlagen, wenn der primäre Schlüssel selbst nicht zum Signieren geeignet war. Auch OAuth sollte sich nun wieder für Exchange-Konten einrichten lassen. Weitere Korrekturen betreffen das Laden von Nachrichten bei einer großen Zahl an IMAP-Ordnern, die Windows-Integration und die Nachrichtenverarbeitung. Eine vollständige Übersicht über alle Neuerungen und Änderungen liefern wie gewohnt die ausführlichen Release Notes.

Zahlreiche Sicherheitsprobleme beseitigt

Deutlich umfangreicher als bei früheren Veröffentlichungen fällt die Liste der einzeln ausgewiesenen Sicherheitslücken aus. Der Grund liegt in einer bereits mit Firefox 156 angekündigten Änderung: Intern entdeckte Memory-Safety-Schwachstellen fasst Mozilla nicht länger unter einer gemeinsamen CVE zusammen, sondern weist fortan für jeden einzelnen Fehler einen eigenen Eintrag aus.

Insgesamt schließt die Thunderbird-Version 75 Schwachstellen, von denen allein 28 mit einem hohen Schweregrad eingestuft sind. Darunter befindet sich ein Use-after-free-Fehler in Web Codecs sowie eine ganze Reihe möglicher Rechteausweitungen infolge fehlerhafter Grenzbedingungen in CanvasWebGL. Weitere gefährliche Schwachstellen finden sich in WebExtensions, Grafik und Site Isolation, den Barrierefreiheits-APIs, Service Worker, DOM Core & HTML, Remote Settings, WebRender, dem HTML-Parser, XML, SVG, Navigation, Netzwerk und DOM Streams.

Mehrere der mit einem hohen Schweregrad bewerteten Schwachstellen können zudem einen Ausbruch aus der Sandbox im Grafikbereich sowie in DOM Core & HTML ermöglichen. Fehler in Service Worker und WebExtensions konnten darüber hinaus zu einer Rechteausweitung führen.

Eine vollständige Übersicht über sämtliche Schwachstellen findet sich auch dieses Mal in den Security Notes.

Auch ESR-Versionen mit Update

Parallel zur regulären Ausgabe hat Mozilla auch die Thunderbird-Varianten mit verlängertem Support aktualisiert. In Thunderbird 153.3.0 ESR wurden sechs Fehler behoben und zahlreiche Sicherheitslücken geschlossen. Bei Version 140.16 ESR beschränkt sich das Update hingegen auf die Beseitigung von 31 Schwachstellen, von denen 25 mit einem hohen Gefährdungspotenzial eingestuft wurden.

Ab sofort verfügbar

Thunderbird 156 sowie die aktualisierten ESR-Varianten stehen ab sofort auf der Website von Mozilla zum Download bereit. Weiterhin lässt sich die Aktualisierung über die Update-Funktion im E-Mail-Client selbst anstoßen, wobei die meisten Anwender mittlerweile auch eine Benachrichtigung über die neue Version erhalten haben dürften. Wie gewohnt kann der quelloffene E-Mail-Client auch bequem über den Link am Ende dieser Meldung aus dem Download-Bereich von ComputerBase bezogen werden. Android-Nutzer greifen hingegen wie immer zum Play Store von Google oder zu F-Droid.