Thunderbird 158 закрывает 80 уязвимостей. Тридцать из них Mozilla относит к высокому уровню опасности, 35 к среднему и 15 к низкому. Большая часть связана с повреждением памяти и выходом из песочницы, то есть изолированной среды, которая удерживает код в ограниченном контуре.
Уязвимости в Thunderbird 158 и их влияние
Бюллетень 2026-109 вышел 13 октября. В нём Mozilla объясняет, почему номеров CVE так много. Раньше все найденные внутри проблемы безопасности памяти сводили в один идентификатор. Теперь на каждую уязвимость выдаётся собственный номер, поэтому счёт идёт на десятки, хотя объём исправлений примерно тот же.
Основную массу составляют ошибки в работе с памятью. Это использование памяти после освобождения, выход за границы буфера, целочисленные переполнения и состояния гонки. При использовании памяти после освобождения программа обращается к участку, который уже вернула системе. Если этот участок успел занять злоумышленник, он управляет содержимым. Состояние гонки возникает, когда два потока одновременно меняют одни и те же данные, и итог зависит от порядка операций.
Затронуты почти все ключевые подсистемы. Среди них сетевой стек, графика, движок JavaScript, векторная графика SVG, аудио и видео, объектная модель документа и механизм расширений.
Выход из песочницы и повышение привилегий
Несколько уязвимостей высокого уровня позволяют преодолеть изоляцию процессов. Сюда попадают ошибки сетевого стека, компонента графики и модуля, который разделяет процессы. Песочница ограничивает права процесса, обрабатывающего веб-содержимое. Пока изоляция цела, даже удачный эксплойт (код, использующий уязвимость) внутри неё даёт немного. После обхода изоляции вредоносный код получает доступ к файлам и учётным данным на машине.
Отдельная группа проблем связана с повышением привилегий. В их числе ошибки компонента обновления приложения, механизма расширений и подсистемы безопасности. Такие уязвимости дают коду больше прав, чем предполагает его роль.
Заметная доля ошибок приходится на движок JavaScript. Несколько уязвимостей связаны с компиляцией во время исполнения, или JIT: неверные границы вычислений и ошибки самого компилятора открывают путь к исполнению чужого кода. Ещё один пласт связан с объектной моделью документа, форматом XML и векторной графикой, где преобладает обращение к уже освобождённой памяти. Большую часть этих проблем нашли специалисты Mozilla, остальные поступили от сторонних исследователей.
Повреждение памяти при разборе письма
Уязвимость CVE-2026-110247 затрагивает внутренний модуль разбора почтовых сообщений. В нескольких местах он вычислял размер буфера в 32-битных переменных и не проверял переполнение. На очень крупном письме проверка пропускала опасное значение. Буфер выделялся меньше нужного, и следующее копирование данных писало за его границами. Повреждение захватывало соседние области памяти. Mozilla оценивает проблему как уязвимость средней степени опасности. В отличие от большинства пунктов списка, она связана с разбором самого письма, а не со сценариями.
Отказ в обслуживании через Exchange
CVE-2026-110249 описывает отказ в обслуживании в компоненте работы с Exchange. Вредоносный, скомпрометированный или подконтрольный злоумышленнику сервер Exchange отвечает одним корректным сообщением SOAP, протокола обмена данными на основе XML. Внутри такого ответа оказывается элемент с очень большим числом атрибутов. Разбор ответа занимает главный поток Thunderbird на секунды, а в отдельных случаях на часы. Программа перестаёт реагировать на действия пользователя. Уровень опасности низкий, но эффект заметен сразу. Подконтрольный сервер подразумевает и атаку "человек посередине", когда трафик идёт через чужое устройство.
Установка исправлений
Исправления вошли в Thunderbird 158. Сборка доступна на сайте Mozilla и через встроенный механизм обновления. Администраторам, которые управляют парком машин, стоит свериться с настройками корпоративных политик. Часть проблем из списка обходит встроенные ограничения продукта. До установки обновления риск снижает отказ от открытия ссылок и вложений во встроенных браузерных окнах. Mozilla считает именно такие контексты основным источником угрозы, поскольку при чтении почты сценарии отключены.
Рост числа идентификаторов не означает, что Thunderbird стал заметно уязвимее. Изменилась практика раскрытия, и производитель публикует каждую проблему отдельно. Для администраторов это обернулось более длинными списками для отслеживания. Почтовый клиент обрабатывает чужие данные и файлы, поэтому регулярное обновление для него важнее, чем для большинства офисных программ.
Ссылки
