IT资讯 Mozilla Thunderbird 以明文存储密钥,目前问题已被修复

cary · 2021-05-27 09:30:06 · 热度: 7

Thunderbird 是 Mozilla 旗下的开源电子邮件客户端,在过去几个月里,经过代码重构之后的版本一直以纯文本形式保存一些用户的 OpenPGP 密钥。

Mozilla Thunderbird 以明文存储密钥,目前问题已被修复

该漏洞的追踪代码为 CVE-2021-29956,存在于 78.8.1 到 78.10.1 版本中。值得庆幸的是,Mozilla 目前已在 78.10.2 版本中修复了该漏洞。

这个错误是在几周前才发现的,当时该公司 E2EE 邮件列表中的一个用户注意到,他们能够在无需输入主密码的情况下,查看 OpenPGP 加密的电子邮件。通常在 Thunderbird 中,用户首先需要验证自己的身份,然后才能够查看加密的电子邮件信息。

通过查看和复制这些 OpenPGP 密钥,本地攻击者可以利用这些密钥来冒充发件人,向他们的联系人发送恶意邮件。

Mozilla 表示:"使用 Thunderbird 78.8.1 版至 78.10.1 版导入的 OpenPGP 密匙未被加密地存储在用户的本地磁盘上。这些密钥的主密码保护没有被启用。78.10.2 版将恢复对新导入密钥的保护机制,并将自动保护使用了受影响的 Thunderbird 版本导入的钥匙。"

Mozilla Thunderbird 项目的安全软件开发人员 Kai Engert 解释道:"只要用户配置了一个主密码,当 Thunderbird 第一次需要访问任何存储的加密信息时,就会提示用户输入主密码。如果输入正确,对称密钥将被解锁,并在剩余的会话中被记住,任何受保护的信息都可以根据需要被解锁。"

Engert 还解释道,Thunderbird 的密钥处理过程已被重构,以保持其安全性,而这正是漏洞被引入的时候。在代码重构之前,电子邮件客户端会将密钥复制到永久存储区,然后使用 Thunderbird 的自动 OpenPGP 密钥保护它。然而,在重构之后,Thunderbird 会先使用客户端的自动 OpenPGP 密钥进行保护,再将密钥复制到永久存储区。

Mozilla 认为,当把密匙复制到其他存储区时,对密匙的保护会被保留下来,但事实证明并非如此,这导致用户的 OpenPGP 密匙以纯文本形式存储了下来。

为了避免 OpenPGP 密钥被暴露,Thunderbird 用户应该将客户端更新到 78.10.2 版本,以避免该错误。

猜你喜欢:
暂无回复。
需要 登录 后方可回复, 如果你还没有账号请点击这里 注册