Mozilla Thunderbird: Stanza-Injection im XMPP-Chat
Zusammenfassung
Die XMPP-Chatfunktion von Thunderbird maskiert Attributwerte in ausgehenden Stanzas nicht. Ein entfernter XMPP-Kontakt kann eine präparierte Anfrage senden, deren Werte in einer automatischen Antwort zurückgespiegelt werden. Dadurch kann Thunderbird beliebige Stanzas in die Verbindung des Benutzers einschleusen, die der XMPP-Server als vom Benutzer stammend verarbeitet. Dies kann das Senden von Nachrichten oder das Ändern von Kontakt- und Abonnementeinstellungen ohne Benutzerinteraktion ermöglichen. Nur die Chatfunktion von Thunderbird mit XMPP-Konten ist betroffen.
Betroffen
- Mozilla Thunderbird vor 153.5.1 (Zweig 153.x)
- Mozilla Thunderbird vor 158.0.1 (Zweig 158.x)
- Nur die Chatfunktion mit XMPP-Konten ist betroffen.
Behoben in
- Thunderbird 158.0.1
- Thunderbird 153.5.1
- Thunderbird ESR-Build: Unbekannt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Unbestätigt: Das Deaktivieren automatischer Antworten oder das Einschränken des XMPP-Chats bis zum Patch kann die Exposition verringern. Vor dem Einsatz testen.
Ausnutzung
- CISA KEV: nicht gelistet.
- Keine bekannte Ausnutzung.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Thunderbird auf allen Desktops auf 158.0.1 oder 153.5.1 (oder neuer) aktualisieren.
- Systeme identifizieren, auf denen der XMPP-Chat von Thunderbird konfiguriert ist, und diese priorisieren.
- Bis zum Patch automatische Antworten oder den XMPP-Chat deaktivieren.
- Trotz widersprüchlicher CVSS-Werte als hohe Priorität behandeln; Mozilla stuft die Auswirkung als hoch ein.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla advisory MFSA 2026-114 www.mozilla.org
- Mozilla advisory MFSA 2026-115 www.mozilla.org
- Bugzilla 2080073 bugzilla.mozilla.org
- Red Hat CVE data via Vulners vulners.com
- Debian security tracker: Thunderbird security-tracker.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.