Thunderbird es uno de los clientes de correo más completos que podemos utilizar para gestionar varias cuentas de correo sin tener que utilizar los correspondientes clientes web. Este cliente de correo es de código abierto y está desarrollado por Mozilla, igual que el navegador Firefox. Igual que a la hora de navegar, si vamos a utilizar esta aplicación para controlar nuestro correo electrónico, la seguridad debería ser una prioridad y, aunque a grandes rasgos el cliente de correo de Mozilla nunca ha supuesto un problema, una reciente auditoría demuestra que igual no es tan seguro como parece.

Una reciente auditoría realizada por los expertos de seguridad de Cure53 al cliente de correo electrónico de Mozilla, Thunderbird, y a Enigmail, una extensión para el cifrado de correos, ha sacado a la luz un total de 22 vulnerabilidades que ponen en peligro los correos y la seguridad de los usuarios.

A falta de conocer los detalles técnicos sobre las vulnerabilidades, los expertos de Cure53 insisten en desactivar el cliente de RSS al encontrarse en él varias de las vulnerabilidades que pueden permitir ejecutar código JavaScript en el cliente de correo e incluso revelar información sobre los directorios locales a un atacante.

Si no utilizamos el cliente de RSS, en un principio la única vulnerabilidad que debería preocuparnos, y que solo afecta a Windows, es un error crítico de desbordamiento del búfer que ocurre cuando se intentan validar elementos Direct3D 9 con la librería ANGLE. Si utilizamos el lector de feeds (RSS), lo mejor es desactivarlo, borrando todas las cuentes (y haciendo una copia de seguridad para poder restaurarlas cuando actualicemos) para evitar que una web maliciosa pueda explotar, a través de sus RSS, estas vulnerabilidades y poner en peligro nuestro sistema.

Además de evitar el uso de las RSS, los expertos de seguridad también recomiendan evitar utilizar extensiones en el cliente de correo, ya que pueden ser una de las principales fuentes de infección de malware. Por supuesto, también nos recomiendan actualizar cuanto antes a la última versión del cliente de correo, versión que soluciona estas vulnerabilidades.

Actualiza cuanto antes a Thunderbird 52.5.2 y a Enigmail 1.9.9

Mozilla ha confirmado que con el lanzamiento de Thunderbird 52.5.2, estas vulnerabilidades ya han sido corregidas, por lo que los usuarios pueden seguir utilizando este cliente de correo con total seguridad, además con la garantía de que no existen más vulnerabilidades, de momento, tras la reciente auditorías realizada.

A la espera de que los usuarios vayan actualizando a estas versiones y protegiéndose de las vulnerabilidades, por seguridad, el informe técnico completo de las vulnerabilidades aún no se ha dado a conocer. Cuando la mayor parte de los usuarios actualice a la nueva versión ya segura, el informe se hará público y podremos conocer más datos sobre estas vulnerabilidades.

Podemos descargar este cliente de correo de forma totalmente gratuita desde su página web principal. Se recomienda comprobar que, efectivamente, hemos actualizado a la versión 52.5.2, ya que ni Mozilla ni Cure53 han confirmado si las vulnerabilidades afectan, o no, a las ramas Beta del cliente de correo.

¿Eres usuario de Thunderbird? ¿Has actualizado ya a la última versión?