Thunderbird допускает раскрытие пароля Exchange и внедрение сообщений в чат XMPP от имени пользователя

Thunderbird содержит уязвимости, из-за которых пароль учётной записи уходит в сеть в открытом виде, а собеседник в чате может действовать от имени пользователя. Затронуты обе поддерживаемые ветки продукта, обычная и с длительной поддержкой. Часть проблем проявляется при настройке учётной записи Exchange, в чате XMPP и при подключении к почтовому серверу с корпоративной проверкой подлинности. Остальные касаются обработки графики и вложений, а также отзыва сертификатов.

Восемь уязвимостей Thunderbird и обновлённый список отозванных сертификатов

Mozilla оценила уровень опасности выпуска как High по собственной классификации. Всего в двух уведомлениях описано восемь дефектов, и каждый получил отдельный идентификатор CVE (стандартное обозначение уязвимости). Раньше ошибки работы с памятью сводили в одну общую запись, теперь вендор публикует отдельную на каждую. Отдельно в Mozilla отмечают, что большинство этих дефектов нельзя использовать через письмо, потому что при чтении почты исполнение скриптов отключено. Риск выше там, где Thunderbird работает как браузерная среда, например при предпросмотре вложений.

Открытая передача пароля при настройке Exchange

При создании учётной записи Thunderbird обращается к службе AutoDiscover, которая автоматически определяет параметры почтового сервера по домену. Запрос уходил в том числе по HTTP, протоколу без шифрования. Из-за ошибки в этот запрос попадали логин и пароль, введённые пользователем. Атакующий, который находится на пути трафика, например в той же сети Wi-Fi, получает пароль и может войти в почту. Учётные данные ему не нужны, а участие пользователя ограничено моментом настройки. Дефект получил идентификатор CVE-2026-113866.

Внедрение посторонних элементов в чат XMPP

XMPP - протокол обмена сообщениями, на котором построен чат Thunderbird. При отправке станзы (структурного элемента протокола) программа не экранировала значения атрибутов, то есть не нейтрализовала служебные символы. Автоматические ответы возвращали часть входящих данных обратно, поэтому удалённый собеседник мог подсунуть такую конструкцию, после которой Thunderbird добавлял в своё соединение произвольные элементы. Сервер обрабатывал их как действия владельца учётной записи: отправку сообщений, смену контактов и подписок. Взаимодействие пользователя не требуется. Уязвимость CVE-2026-113867 затрагивает только учётные записи XMPP.

Разбор памяти при проверке подлинности NTLM

NTLM - протокол проверки подлинности, который применяют корпоративные почтовые серверы. При подключении по POP3 или SMTP Thunderbird не проверял, что ответ сервера корректен с точки зрения base64 (способа упаковать двоичные данные в текст). Вредоносный сервер мог прислать такой ответ, и Thunderbird включал в свой ответ фрагмент неинициализированной памяти, то есть участка оперативной памяти, не очищенного перед использованием. Содержимое этого участка уходило серверу. Ответ из одних символов выравнивания вызывал чтение за границами буфера и аварийное завершение программы. Затронуты учётные записи с проверкой NTLM или GSSAPI (общий интерфейс служб безопасности), причём раскрытие памяти касается только NTLM. Идентификатор - CVE-2026-113868.

Сертификаты eMudhra и прочие исправления

17 октября Mozilla заблокировала скомпрометированные промежуточные сертификаты удостоверяющего центра eMudhra через OneCRL (централизованный список отозванных сертификатов). Клиенты получали этот список службой RemoteSettings, которую можно отключить политикой или потерять из виду в закрытой сети. В сборку включили актуальную копию списка, поэтому отозванные сертификаты блокируются и без внешней службы (CVE-2026-113470).

В том же выпуске закрыто ещё несколько дефектов. Обращение к освобождённой памяти при расшифровке S/MIME (стандарт шифрования и подписи почты) возникает, когда окно ввода пароля устройства безопасности, например PIN смарт-карты, остаётся открытым дольше загрузки письма (CVE-2026-113869). Далее идут ошибка границ в компоненте отрисовки SVG, то есть векторной графики (CVE-2026-113399), неинициализированная память в звуковом компоненте cubeb (CVE-2026-113400) и отказ в обслуживании во встроенном просмотрщике PDF (CVE-2026-113401).

Исправления вышли 20 октября 2026 года в версиях 158.0.1 и 153.5.1. Сведений об эксплуатации перечисленных уязвимостей в реальных атаках вендор не приводит, публичного эксплойта и упоминаний в кампаниях нет. Обе ветки поддерживаются параллельно, поэтому обновление касается и рабочих станций сотрудников, и удалённых сред, где Thunderbird запускают централизованно.

Обновить Thunderbird до 158.0.1 или 153.5.1 нужно на всех машинах, где настроены учётные записи Exchange, XMPP либо проверка подлинности NTLM. Отдельного внимания требуют учётные записи с NTLM и GSSAPI: такие подключения можно перевести на современные схемы проверки, если сервер их поддерживает. Если политика организации отключает RemoteSettings, встроенная копия списка всё равно заблокирует отозванные сертификаты, но до следующего обновления клиента полагаться придётся только на неё.

Главные риски связаны с первыми двумя дефектами: пароль уходит в незашифрованный канал, а внедрение в XMPP не требует действий пользователя. Остальные записи закрывают менее вероятные сценарии, и по составу выпуск повторяет прежние плановые обновления безопасности почтового клиента, где основную часть занимают ошибки работы с памятью.