Das Mozilla Mail-Programm lässt Benutzer über die wahre Natur bestimmter Anhänge im Unklaren.

Benutzer des Mail-Programms Thunderbird können mit speziell präparierten Mails dazu gebracht werden, schädliche Anhänge zu öffnen, weil ihre wahre Natur nicht richtig dargestellt wird. Betroffen sind Versionen bis Thunderbird 1.0.7, in der Version 1.5 ist der Fehler behoben.

Bei Mails, in denen der Dateityp eines Anhangs falsch angegeben ist und sehr lange Dateinamen mit vielen Leerzeichen verwendet werden, kann es vorkommen, dass Thunderbird die Art des Anhangs nicht korrekt anzeigt. Benutzer könnten dadurch verleitet werden, einen schädlichen Anhang zu öffnen, weil sie ihn zum Beispiel für eine harmlose Textdatei halten, als die er laut Dateityp ausgegeben wird.

Die erfolgreiche Ausnutzung des Fehlers setzt allerdings voraus, dass der Mail-Empfänger den Anhang nicht direkt aus Thunderbird öffnet sondern zunächst durch Ziehen auf den Desktop speichert und dann von dort öffnet. Das direkte Öffnen des Anhangs in Thunderbird ist jedoch möglich, obwohl Thunderbird dies bei einer EXE-Datei nicht anbieten sollte. Allerdings würde Thunderbird den Anhang mit der Anwendung öffnen, die für den angegebenen Dateityp vorgesehen ist, also etwa mit dem Windows-Editor Notepad, falls der Dateityp "Text" angegeben ist.

Der Fehler ist den Mozilla-Entwicklern laut Secunia bereits seit Juli 2005 bekannt und wurde auch im Quelltext bereits ein paar Wochen später beseitigt. Eine fehlerbereinigte Version für die Allgemeinheit gibt es jedoch erst mit dem am 12. Januar dieses Jahres bereit gestellten Thunderbird 1.5 .

Links:
- Quelle:PC-Welt
- Download v1.5 [Windows] [Mac OS X] [Linux i686]