Topic: Ultime novità su Thunderbird

[fabrixx]

Mitico Eudora!
Mi ricorda gli albori di Internet quando era un serio e professionale client alternativo, quindi qualcosa ne è rimasto.

Thunderbird mi sembra sempre più pesante (probabilmente però sono io che sono bollito), ormai lo uso solo come "pozzo aspiratutto" su un notebook dove ho configurato tutti gli account di posta, periodicamente scarico e filtro tutto dopo aver intasato per bene le varie webmail.

[miki64]

@deckard e @miki64

Rischio di esserti antipatico più di quanto lo sono, ma la mia risposta è sempre la stessa:
- puoi tranquillamente utilizzare TB 17 ESR O TB 3, il programma è e rimane affidabile,
- i parametri SMTP e POP3/IMAP4 sono sempre quelli da una vita, quindi anche un TB non aggiornato funziona egregiamente - pur se con ovvie limitazioni,
- TB ha un processo di aggiornamento molto più lento di Firefox, si vede che è trascurato da Mozilla, eppure rimane un gran bel client e-mail pur se conserva i suoi difetti "storici",
- ancora oggi stiamo parlando di un TB dal futuro incerto, eppure funziona sempre alla grande. Segno che è davvero fatto bene, no? Nel frattempo Eudora, Outlook Express, TheBat!, Foxmail e Incredimail hanno perso terreno e quote di mercato, Thunderbird resiste...
- Thunderbird superato? Beh ,sì... lo dicono pure di Windows XP, eppure... 

[deckard]

Confermo ciò che Miki64 ha detto.  E anche le due gatte di casa fanno altrettanto (dopo essere state impegnate nel servizio pulizia ciotole, pardon sfamamento)
Le vecchie versioni di TB sono comunque, come sicuramente è stato già detto, delle versioni curate e affidabili anche se si tratta della versione 3.0.11 (29-Nov-2010) o 3.1.20 (07-Mar-2012). Ovvio che se dovessero esserci eventuali vulnerabilità o falle queste non sarebbero più corrette.
Tra i programmi citati da Miki64 forse Eudora è quello che è più serio.
Quanti sanno da dove deriva il suo nome o conoscono Eudora Welty... ?!?
Per quanto riguarda il fatto che TB è trascurato da Mozilla mi ricordo che qualcuno lo aveva paragonato al figlio della serva...

Non è morto ciò che in eterno può attendere e con il passare di strane ere anche la morte può morire...

Beh Windows XP con il 2014 non avrà più il supporto esteso. E va bene che la casa madre voglia spingere sulle nuove versioni del sistema operativo, però Windows XP è una manna dal cielo per chi si occupa di Trashware e informatizzazione (recupero PC datati prima che finiscano dal rottamaio...) insieme a quelle distribuzioni di Linux che girano anche su computer non all'ultimo grido... (comperare un PC da Mille Mila Euro per farci girare sopra le ultimissime versioni del sistema operativo, che va acquistato insieme al pacchetto software per l'ufficio, in tempi di forte crisi, non è una cosa alla portata di tutte le tasche... ma questa è una digressione!)

Ph'nglui mglw'nafh Cthulhu R'lyeh wgah'nagl fhtagn

[croma.to]

Da quello che riporta Ludovic Hirlimann, TB 31 sembra essere la prossima release

Codice: [Seleziona]

I want to give an overvoew of
what's happenned since we branched 24, 24 ESR and what we are planning
with 31.
link: https://groups.google.com/forum/#!topic/tb-planning/DSfqgtNmjy8

croma.to

[deckard]

Probabile, nel frattempo vi saranno dei rilasci di aggiornamento per la versione 24.*.**
Da quanto ho capito fin'ora per le versioni dalla 25.0 alla 30.0 avremo solo dei rilasci beta.

Avrei una curiosità: c'è qualcuno che sta utilizzando Simple Mail? Qualitativamente parlando può essere considerato come un ragionevole sostituto di Thunderbird, almeno per le funzioni di base ?

[gialloporpora]

Confesso che non ricordo se la 17 è morta o è ancora in uso, in ogni caso chi ha la 17 è meglio che aggiorni:

Mozilla Thunderbird vulnerability allows hackers to Insert malicious code into Emails — thehackernews.com

Mozilla Thunderbird 17.0.6 email application is vulnerable to critical validation and filter bypass vulnerability, enables an attacker to bypass the filter that prevents HTML tags from being used in messages.

[deckard]

Mozilla Thunderbird 17.0.6 non è l'ultimo rilascio della serie 17 che è arrivata alla 17.0.11 ESR.
Comunque sia leggo:

The remote vulnerability has been patched in january after the verification procedure of the mozilla corportation in thunderbird 24.x version.

e

The vulnerability is fixed in the latest versions (24.2.0) of Thunderbird, and users are highly recommended to upgrade as soon as possible.

C'è anche un video relativo: https://www.youtube.com/watch?v=mqZ4eY2th0s

[klades]

Mi sembra una cosa un po' strana, perché nelle note di rilascio di Thunderbird non c'è nessun accenno a questo bug e anche su bugzilla.mozilla.org non sono riuscito a trovare niente.

[gialloporpora]

Ecco, io pensavo che la 17.0.6 fosse l'ultima ESR, invece è la versione su cui l'hacker ha scoperto il bug.
@klades,
nei vari articoli dicono che l'hacker ha inviato il bug al programma taglie di Mozilla, non è che è un bug di quelli nascosti?

Cercando ho trovato il proof of concept:
http://i1-news.softpedia-static.com/images/extra/SECURITY/thunderbirdPOC.txt

L'unica cosa che non riesco a capire è se è stato risolto solo nella 24 o anche nella ultima ESR.

[klades]

Il proof of concept #1 non funziona nè su Thunderbird 3.1.20 nè leggendo la mail sul browser.
Secondo me bisogna aspettare conferme ufficiali da Mozilla.

[Geko]

Stavo appunto per chiedere secondo gli esperti di Thunderbird quali sarebbero le reali implicazioni di questa vulnerabilità,ovvero quali condizioni si devono verificare perché il cosidetto payload di questo exploit venga eseguito,e quanto è probabile che nell'uso normale ma accorto del programma si verifichino queste condizioni.

Da quel poco (o niente) che ho capito,questo malware ha bisogno comunque di una certa interazione da parte dell'utente,per arrivare ad aprire nel browser il codice malevolo contenuto nella mail,o mi sbaglio?

Ed inoltre sarei curioso di sapere,analizzando il sorgente di una possibile mail contenente questo attacco, cosa si dovrebbe notare di inusuale?

[croma.to]

ho testato la seconda prova (quella della firma) utiizzando il payload 1 su TB portable 17.0.6 e 24.1.0

sul primo vedo apparire il popup, sul secondo no

Secondo me bisogna aspettare conferme ufficiali da Mozilla.

concordo con @klades

edit: per ora, si discute anche di questo : Flaw in Thunderbird bypasses Firefox 'Torified' security and privacy defenses http://www.networkworld.com/community/node/84683

croma.to

[deckard]

In merito alla falla segnalata per ultima (quella che influisce su Firefox Torificato) segnalo che nella discussione dedicata al Tor Browser Bundle avevo parlato di TorBirdy e aggiungo questo link

[croma.to]

nei vari articoli dicono che l'hacker ha inviato il bug al programma taglie di Mozilla, non è che è un bug di quelli nascosti?

BugZilla 875818 https://bugzilla.mozilla.org/show_bug.cgi?id=875818, riaperto in seguito agli articoli recenti

croma.to

[Geko]

E quindi,per chi non sta usando la versione 24,quali sono le reali implicazioni?
Devo ammettere che dalla descrizione del bug non ho capito molto,cosa si deve fare nella pratica per (ipoteticamente) essere vittima di questo attacco?
Da cosa si può praticamente riconoscere un eventuale messaggio malevolo,magari analizzando il sorgente ci sono tags che possono essere dei segnali?