CVE-2022-2226

Una firma digital OpenPGP incluye información sobre la fecha en que se creó la firma. Al mostrar un correo electrónico que contiene una firma digital, se mostrará la fecha del correo electrónico. Si las fechas eran diferentes, entonces Thunderbird no informó que el correo electrónico tuviera una firma no válida. Si un atacante realizó un ataque de repetición, en el que un correo electrónico antiguo con contenido antiguo se reenvía más adelante, podría hacer que la víctima crea que las declaraciones en el correo electrónico son actuales. Las versiones fijas de Thunderbird requerirán que la fecha de la firma coincida aproximadamente con la fecha mostrada en el correo electrónico. Esta vulnerabilidad afecta a Thunderbird < 102 y Thunderbird < 91.11.

A flaw was found in Mozilla. The Mozilla Foundation Security Advisory describes this issue of when an OpenPGP digital signature includes information about the date when the signature was created. When displaying an email that contains a digital signature, it will show the email's date. If the dates were different, Thunderbird didn't report the email as having an invalid signature. If an attacker performs a replay attack, in which an old email with old contents is present at a later time, it could lead the victim to believe that the statements in the email are current. Fixed versions of Thunderbird will require that the signature's date roughly matches the displayed date of the email.