<html>
  <head>
    <meta http-equiv="Content-Type" content="text/html; charset=utf-8">
  </head>
  <body text="#000000" bgcolor="#FFFFFF">
    <p>If you're really interested in knowing which advisories applied
      to Thunderbird, you're free to go click through them and count -
      see <a class="moz-txt-link-freetext" href="https://www.mozilla.org/en-US/security/advisories/">https://www.mozilla.org/en-US/security/advisories/</a> - the
      product is listed for each. Of course not everything applies to
      Thunderbird, but a lot of them do apply.<br>
    </p>
    <p>I don't see it as fruitful to discuss some "stripped down
      version". At the end of the day, even very simple use cases like
      showing pictures could expose you to remote code exploits (like
      mfsa2016-92 fixed a couple of weeks ago). That is, you open your
      mail and BOOM, the attacker can do whatever he wants with your
      machine.<br>
    </p>
    <p> -Magnus<br>
    </p>
    <div class="moz-cite-prefix">On 19.12.2016 21:50, Disaster Master
      wrote:<br>
    </div>
    <blockquote type="cite"
      cite="mid:e5499773-3256-9669-e675-241e08016f73@gmail.com">
      <meta http-equiv="Content-Type" content="text/html; charset=utf-8">
      <div class="moz-cite-prefix">On 12/17/2016 7:10 AM, Magnus Melin <a
          class="moz-txt-link-rfc2396E"
          href="mailto:mkmelin+mozilla@iki.fi" moz-do-not-send="true"><mkmelin+mozilla@iki.fi></a>
        wrote:<br>
      </div>
      <blockquote cite="mid:2ec905e0-9e57-0118-d36c-fb4974ca11fc@iki.fi"
        type="cite"> On 16.12.2016 17:24, Disaster Master wrote:<br>
        <blockquote type="cite"
          cite="mid:f2273f62-0389-ab8e-7b21-2990cb9aee97@gmail.com">
          <div class="moz-cite-prefix">On 12/15/2016 7:02 PM, R Kent
            James <a class="moz-txt-link-rfc2396E"
              href="mailto:kent@caspia.com" moz-do-not-send="true"><kent@caspia.com></a>
            wrote: </div>
          <blockquote
            cite="mid:12b6c4eb-e0a5-b693-cbc5-a0dff2de72ba@caspia.com"
            type="cite">
            <pre wrap="">Postbox's new release is on Gecko 7.0.1, which is now over 5 years old. I have not heard any great outcry about their security issues, and someone on this list (...cough..  BK...cough..ensa) keeps telling us what a great product that is, and how popular it is in Mozilla. So clearly forking Gecko is a CHOICE, and if people at Mozilla are using it then some people at Mozilla must not care that it is based on old Gecko, either.</pre>
          </blockquote>
          <br>
          This supports my feeling that the security risks are actually
          much smaller for TB than they would be for, for example, Pale
          Moon.<br>
        </blockquote>
        <br>
        The security risks are very present,</blockquote>
      <br>
      Only one person (Jim) has responded with any specifics on these
      risks, but alas didn't respond to my follow-up about how or
      whether or not it would be possible to mitigate said risks -
      regardless, I didn't grok his response, so have no way of knowing
      if the risks are real (for TB) or not.<br>
      <br>
      Care to elaborate on what *you* mean by risks? Specifically with
      respect to TB? Specifically, with regard to my comments about
      there possibly being ways to mitigate or even eliminate said risks
      by simply locking down the HTML capabilities to a bare minimum
      necessary for rendering HTML emails in a safe way?<br>
      <br>
      Again, it will apparently be *years* before the need to fork Gecko
      would come to pass - *if* it did, so it isn't like there isn't
      some time to make informed decisions and have our options ready.<br>
      <br>
      <blockquote cite="mid:2ec905e0-9e57-0118-d36c-fb4974ca11fc@iki.fi"
        type="cite"> you're just living on hope thatnobody bothers to
        target you.</blockquote>
      <br>
      No, seriously, I'm not, so please stop presuming to know my mind.<br>
      <br>
      <blockquote cite="mid:2ec905e0-9e57-0118-d36c-fb4974ca11fc@iki.fi"
        type="cite"> Just to put things in numbers: there have been 96
        security advisories from Mozilla this year alone. So with Gecko
        7.0.1 (from 2011) there are virtually hundreds of holes just
        looming along in Postbox. These are so old security bugs that
        they are public by now, many with explicit instructions...<br>
      </blockquote>
      <br>
      Are you sure that every one of these security advisories apply to
      TB and the way it uses Gecko?<br>
      <br>
      I mean - Firefox is a web browser. TB is *not*. Surely there are a
      *ton* of 'features' in Gecko that TB doesn't use and has no need
      for?<br>
      <br>
      Again...<br>
      <br>
      Would it not be possible to lock down TB to a specific subset of
      Gecko functions in order to let it render basic HTML emails, but
      minimize or even eliminate the security risks that would otherwise
      plague a full blown web browser?<br>
      <br>
      <fieldset class="mimeAttachmentHeader"></fieldset>
      <br>
      <pre wrap="">_______________________________________________
tb-planning mailing list
<a class="moz-txt-link-abbreviated" href="mailto:tb-planning@mozilla.org">tb-planning@mozilla.org</a>
<a class="moz-txt-link-freetext" href="https://mail.mozilla.org/listinfo/tb-planning">https://mail.mozilla.org/listinfo/tb-planning</a>
</pre>
    </blockquote>
    <br>
  </body>
</html>