EFAIL vulnerability

1

Rád bych věděl, jak jste na tom s řešením této zranitelnosti: https://efail.de/

A vzhledem k tomu, že stále nemohu přejít na verzi 7, tak jestli je nějaká možnost řešení i pro verzi 6.

Děkuji

2

This reply was created from a merged topic originally titled EFAIL vulnerability.

Dobrý den,

posílám stejný dotaz podruhé, můj předchozí post zmizel …

Zajímalo by mě, v jakém stavu je řešení problému EFAIL - viz https://efail.de/

A také zda je nějaká možnost to vyřešit či obejít ve verzi 6, jelikož zatím nejsem schopen upgradu.

Děkuji

3

Please see http://www.emclient.com/blog/em-client-and-efail-171

4

Thanks.

In moment I wrote this post your blog text not existed … (Google has not found it)

5

Yes, it was just added today.

6

Dobrý den,
rád bych jen upřesnil nějaké informace.

  1. Blog post existuje i v české verzi zde: https://cz.emclient.com/blog/efail-a-em-client-172
  2. Přímá exfiltrace ve verzi 6 (stejně jako ve verzi 7 není možná). Pro verzi 6 Efail útok není realizovatelný ani tou obtížnější variantou, jak je popsáno v našem blog postu pro verzi 7.1. Exfiltrační kanály zmíněné v Efail studii totiž ve verzi 6 neexistují
    a) Vložení chybně deklarovaných kaskádových stylů (CSS) není ve verzi 6 možné, protože ta ještě používa jádro Internet Exploreru, kde bylo veškeré skriptování zakázáno na úrovni jádra.
    b) Http požadavek pro Favicon (přes který ovšem stejně útok nelze realizovat) se ve verzi 6 nevyskytoval
    c) Žádost o předběžný S/MIME certifikát se také neprovádělS verzí 6 byste měl tudíž být proti Efail útoku také v bezpečí.
7

The complete fix was added to 7.1.32772, but most of the vulnerabilities were already circumvented in previous versions.