Mozilla Thunderbird: Denial of Service über manipulierte Exchange-SOAP-Antwort
Zusammenfassung
Die Exchange-E-Mail-Komponente von Mozilla Thunderbird kann zum Einfrieren gebracht werden. Ein böswilliger, kompromittierter oder per Man-in-the-Middle kontrollierter Exchange-Server kann eine einzelne, wohlgeformte SOAP-Antwort senden, die den Hauptthread von Thunderbird für Sekunden bis Stunden mit CPU-Last beschäftigt. Laut den verfügbaren Quellen kann ein Angreifer über diese Schwachstelle weder Code ausführen noch Daten stehlen, der Thunderbird-Client ist jedoch bis zum Beenden nicht mehr nutzbar.
Betroffen
- Mozilla Thunderbird vor 153.5 im 153-Zweig
- Mozilla Thunderbird vor 158 im 158-Zweig
- Basierend auf den nicht betroffenen Bereichen im CVE-Eintrag (153.5 bis 153.* und 158 ff.). Die genauen betroffenen Versionen wurden nicht mit dem Originaltext von Mozilla verifiziert.
Behoben in
- Thunderbird 158 (MFSA 2026-109)
- Thunderbird 153.5 (MFSA 2026-110)
- Neuere Versionen wie 153.5.1, 158.0.1 und 153.6 enthalten ebenfalls die Korrektur.
Umgehung
Unbekannt. In den Quellen ist keine Workaround dokumentiert. Die Korrektur ist das Update.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total.
- Zum Zeitpunkt der Recherche sind keine Ausnutzung und kein öffentlicher Proof of Concept bekannt.
- EPSS liegt bei 0.00171, also einer niedrigen prognostizierten Ausnutzungswahrscheinlichkeit.
Unsere Empfehlung
- Thunderbird auf 158.0 oder neuer aktualisieren bzw. im 153-Zweig auf 153.5 oder neuer, vorzugsweise auf die neueste Version des verwendeten Zweigs.
- Benutzer priorisieren, die über unsichere Netzwerke wie öffentliches WLAN oder unterwegs auf Exchange-Konten zugreifen.
- Die Herstellerhinweise auf weitere Thunderbird-Korrekturen im selben Update-Zyklus prüfen, etwa MFSA 2026-115 zu AutoDiscover über unverschlüsseltes HTTP.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla Thunderbird known vulnerabilities www.mozilla.org
- Mozilla Bugzilla bug 2077826 bugzilla.mozilla.org
- Ubuntu security CVE-2026-110249 ubuntu.com
- NVD/Vulners CVE-2026-110249 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.