В Thunderbird 153.5 закрыли больше шестидесяти уязвимостей, и почти половину списка составляют проблемы высокой степени опасности. Они затрагивают сетевой стек, графическую подсистему, JavaScript-движок, работу с документами и локальное хранилище данных. Часть из них позволяет выйти из песочницы, в которой почтовый клиент запускает веб-контент. Другие ведут к раскрытию информации и повышению привилегий.
Что исправлено в Thunderbird 153.5
Самый частый тип проблемы в бюллетене - обращение к уже освобождённой памяти. Программа продолжает использовать участок, который до этого вернула системе, и туда успевают попасть посторонние данные. Несколько записей описывают компиляцию "на лету" (JIT): движок переводит JavaScript в машинный код прямо во время работы и при определённых условиях ошибается в расчётах. Ещё одна группа - целочисленное переполнение, состояние гонки и обход защитных механизмов.
Сбои сосредоточены в компонентах, общих с браузерным движком Mozilla. Нашли их как внутри компании, так и внешние исследователи. Заметную часть отчётов по JavaScript-движку и графике прислал исследователь из OpenAI Эми Бёрнетт. Выходы из песочницы в сетевом стеке описали Якуб Альдурайхим и Шу Такахаси из Velcore Consulting.
Память и песочница
Песочница ограничивает ущерб от чужого веб-контента. Даже если он запустится, доступ к системе остаётся урезанным. Уязвимости, которые позволяют из песочницы выйти, сводят эту защиту на нет. Одна из записей бюллетеня, CVE-2026-109705, объединяет выход из песочницы, нарушение изоляции сайтов и обращение к освобождённой памяти в сетевом компоненте. Рядом стоят повышение привилегий в модуле обновления приложения и раскрытие информации в подсистеме изоляции процессов.
Повышение привилегий означает, что код получает права шире тех, на которые рассчитывали разработчики. Раскрытие информации ведёт к утечке данных, которые пользователь не собирался показывать: содержимого буфера обмена, фрагментов документов, сведений о системе. Такие уязвимости редко срабатывают сами по себе, но в связке с другими дают злоумышленнику заметное преимущество.
Пользователь обычно не замечает момента срабатывания. Чтобы воспользоваться такой уязвимостью, злоумышленнику нужно заставить клиент обработать специально подготовленный контент. Итог зависит от версии сборки, настроек и операционной системы.
Exchange-сервер и отказ в обслуживании
Отдельной строкой идёт CVE-2026-110249, и она не про память. Вредоносный, скомпрометированный или подконтрольный атакующему "человек посередине" сервер Exchange возвращает один корректно сформированный ответ SOAP (протокол обмена сообщениями на основе XML). В ответе есть элемент с большим числом атрибутов, и его разбор надолго занимает главный поток Thunderbird: счёт идёт на секунды, в худшем случае на часы. Степень опасности низкая, зато сработать это может через почтовый сервер, к которому подключён клиент.
Через само письмо остальные проблемы не реализуются. Сценарии при чтении почты отключены, поэтому вложенный код не выполнится. Риск возникает в браузерных контекстах, например когда клиент открывает веб-страницу по ссылке из сообщения. Это важное уточнение: привычный сценарий с вредоносным текстом письма здесь не работает, и часть угроз требует от пользователя лишнего действия.
Обновление до версии 153.5
Все перечисленные уязвимости закрыты в Thunderbird 153.5. Других мер Mozilla не предлагает: исправления собраны только в этой сборке. До установки обновления риск снижает аккуратность с веб-содержимым, которое открывается внутри клиента.
Тем, кто держит Thunderbird в связке с корпоративным Exchange, обновления клиента мало. Если сервер скомпрометирован или канал до него контролирует злоумышленник, уязвимость из бюллетеня остаётся достижимой независимо от версии клиента. Здесь ответственность смещается на администраторов почтовой инфраструктуры.
В Mozilla поменяли порядок публикации: внутренние находки о безопасности памяти больше не сворачивают в одну запись, а описывают по отдельности. Поэтому один бюллетень теперь перечисляет десятки отдельных уязвимостей. Для администраторов изменился объём работы: список стал длиннее, зато каждая запись указывает на конкретный компонент и его уровень опасности.
Ссылки
