CVE-2026-84639 в Ubuntu: критическая уязвимость Thunderbird, уязвимые версии и защита

CVE: CVE-2026-84639
Продукт: Ubuntu
Дата публикации: 02.09.2026
Критичность: CRITICAL
CVSS: 9.1 (3.1)
EPSS: 0,32%; процентиль 24,84%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Thunderbird для Ubuntu выявлена критическая уязвимость CVE-2026-84639, связанная с использованием неинициализированной памяти при обработке MIME-сообщений. Ошибка позволяет атакующему удалённо повлиять на стабильность и конфиденциальность данных без необходимости аутентификации. В статье разобраны затронутые версии пакетов, механика атаки и порядок обновления системы.

Основные характеристики​

Уязвимость позволяет атакующему удалённо повлиять на работу почтового клиента через специально сформированное MIME-сообщение. Риск связан с чтением неинициализированной памяти, что может привести к утечке данных или отказу в обслуживании.

• Тип ошибки: CWE-457 (Use of Uninitialized Resource). Ошибка возникает при обращении к памяти, которая не была инициализирована перед использованием.
  
• CVSS: 9.1 (CRITICAL). Вектор CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H указывает на удалённый доступ без аутентификации и пользовательского взаимодействия.
  
• Условия атаки: Атакующему достаточно отправить вредоносное письмо. Пользователю не нужно открывать вложения или выполнять команды.
  
• Факт эксплуатации: В каталоге CISA KEV подтверждённых фактов активной эксплуатации в реальных атаках нет.
  
• EPSS: 0,32% (процентиль 24,84%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но риск остаётся критическим из-за природы ошибки.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет thunderbird в нескольких версиях Ubuntu LTS. Обновление необходимо для всех перечисленных ниже дистрибутивов.

• Ubuntu 22.04 LTS (jammy): Пакет thunderbird версии 1:140.7.1+build1-0ubuntu0.22.04.1 и связанные бинарные пакеты (thunderbird-gnome-support, thunderbird-mozsymbols, xul-ext-calendar-timezones, xul-ext-gdata-provider, xul-ext-lightning).
  
• Ubuntu 24.04 LTS (noble): Пакет thunderbird версии 2:1snap1-0ubuntu3.
  
• Ubuntu 26.04 LTS (resolute): Пакет thunderbird версии 2:1snap1-0ubuntu5.
  

Для Thunderbird в целом уязвимыми считаются версии до 140.15.0, от 141.0 до 153.2.0, а также от 154.0 до 155.0.

Причина уязвимости​

Причина уязвимости кроется в логике обработки MIME-тел в компоненте Thunderbird. При возникновении определённого условия ошибки в процессе парсинга MIME-данных код обращается к области памяти, которая не была инициализирована.

Такая ошибка классифицируется как CWE-457. Использование неинициализированной памяти приводит к непредсказуемому поведению программы: она может прочитать случайные данные из памяти или завершиться аварийно. В контексте почтового клиента это означает, что вредоносное письмо может спровоцировать чтение данных, которые не должны были быть доступны, или привести к падению приложения.

Как работает атака​

Атака реализуется через отправку специально сформированного MIME-сообщения. Атакующему не требуется доступ к системе жертвы или учётные данные. Достаточно, чтобы почтовый клиент получил и обработал письмо.

Механизм срабатывания следующий: при парсинге MIME-тела с определёнными параметрами в коде Thunderbird возникает условие ошибки. В этот момент функция, отвечающая за обработку данных, обращается к неинициализированной памяти.

Это нарушает целостность процесса и может привести к утечке содержимого памяти или отказу в обслуживании. Поскольку вектор CVSS указывает на отсутствие необходимости в пользовательском взаимодействии (UI:N), срабатывание может произойти в фоновом режиме при синхронизации почты.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости атакующему необходимо выполнить следующие условия:

• Доступ к отправке почты: Атакующий должен иметь возможность отправить письмо на адрес, обслуживаемый уязвимым клиентом Thunderbird.
  
• Установка уязвимой версии: На целевой системе должна быть установлена версия Thunderbird, входящая в список затронутых версий (до 140.15, 141.0–153.2, 154.0–155.0).
  
• Обработка MIME-данных: Клиент должен быть настроен на автоматическую обработку MIME-сообщений. Если пользователь полностью отключил загрузку и парсинг вложений и MIME-тел, риск снижается, но не исчезает полностью, так как заголовки и структура письма обрабатываются всегда.
  

Возможный сценарий атаки​

Сценарий атаки начинается с того, что злоумышленник формирует MIME-сообщение, содержащее специфическую последовательность байтов, которая провоцирует срабатывание условия ошибки в парсере Thunderbird. Это письмо отправляется на адрес жертвы.

Когда Thunderbird получает письмо и начинает его индексировать или отображать, парсер MIME обрабатывает тело сообщения. В определённый момент логика обработки сталкивается с некорректным состоянием, которое приводит к обращению к неинициализированной памяти.

В результате клиент может аварийно завершиться (отказ в обслуживании) или прочитать данные из памяти, которые затем могут быть выведены наружу через отклик или логи. Атакующий не требует от жертвы никаких действий, кроме получения письма.

Есть ли публичный эксплойт​

На данный момент в доступных официальных источниках нет подтверждений о публичном эксплойте, используемом в реальных атаках. В каталоге CISA KEV CVE-2026-84639 не числится.

Однако наличие технического описания в баг-трекере Mozilla и выпуск патчей вендором подтверждают, что уязвимость реальна и может быть эксплуатирована. Отсутствие сведений о публичном эксплойте не означает, что он не существует; это лишь отражает текущую картину мониторинга. Учитывая критический уровень CVSS и простоту сценария (отправка письма), риск появления эксплойта в будущем остаётся высоким.

Признаки эксплуатации​

Специфичных индикаторов компрометации (IOC) для CVE-2026-84639 в открытых источниках не опубликовано. Ниже приведены общие, неспецифичные признаки, которые могут указывать на попытку эксплуатации:

• Аварийное завершение Thunderbird: Частые краши приложения при получении новых писем, особенно если в логах зафиксированы ошибки, связанные с обработкой MIME или памятью.
  
• Аномальные сетевые соединения: Если Thunderbird начинает отправлять данные на неизвестные IP-адреса или порты, это может свидетельствовать об утечке памяти через сеть.
  
• Изменения в файловой системе: Появление новых файлов в каталогах профиля Thunderbird, которые не были созданы пользователем.
  

Эти признаки не являются уникальными для данной уязвимости и могут возникать по другим причинам, поэтому их наличие требует дополнительной проверки.

Как обнаружить атаку​

Для обнаружения попытки эксплуатации или последствий атаки рекомендуется использовать следующие методы:

• Мониторинг логов Thunderbird: Анализ логов приложения на предмет ошибок, связанных с обработкой MIME, сегментацией памяти или аварийным завершением. Ищите записи, содержащие ключевые слова uninitialized, memory, MIME.
  
• Сетевой анализ: Контроль исходящего трафика от процесса thunderbird. Если клиент отправляет данные на внешние адреса без запроса пользователя, это может быть признаком утечки.
  
• Аудит обновлений: Проверка, что все системы с установленным Thunderbird обновлены до безопасных версий. Несоответствие версий пакетов в реестре системы — прямой индикатор риска.
  

Автоматизированное обнаружение специфичных паттернов атаки на данный момент затруднено из-за отсутствия публичных сигнатур.

Как проверить свою версию​

Для проверки версии установленной системы и пакета Thunderbird используйте следующие команды:

cat /etc/os-release
uname -r
apt-cache policy thunderbird
ubuntu-security-status

Команда apt-cache policy thunderbird покажет установленную и доступную версии пакета. Если установленная версия совпадает с одной из уязвимых (например, 1:140.7.1+build1-0ubuntu0.22.04.1 для Ubuntu 22.04), система требует обновления. Замените <имя-пакета> на thunderbird при необходимости проверки других компонентов.

Исправление​

Единственным надёжным способом устранения уязвимости является обновление пакета thunderbird до исправленной версии. Для Ubuntu это означает применение обновлений из официальных репозиториев безопасности.

• Ubuntu 22.04 LTS: Обновите пакет thunderbird до версии, содержащей исправление. Используйте команду sudo apt update && sudo apt upgrade thunderbird.
  
• Ubuntu 24.04 LTS и 26.04 LTS: Аналогично, выполните обновление через apt. Для snap-версий (если используется) убедитесь, что snap-пакет обновлён до последней версии.
  

После обновления перезапустите Thunderbird, чтобы изменения вступили в силу. Не откладывайте обновление, так как уязвимость позволяет удалённое воздействие без аутентификации.

Временные меры защиты​

Пока обновление не установлено, можно принять следующие временные меры для снижения риска:

• Отключение автоматической обработки MIME: В настройках Thunderbird можно ограничить автоматическую загрузку и парсинг MIME-вложений. Это не полностью устранит риск, так как заголовки и структура письма всё равно обрабатываются, но снизит вероятность срабатывания на сложных телах сообщений.
  
• Использование альтернативного клиента: Если критически важно, временно переведите пользователей на другой почтовый клиент, не содержащий данной уязвимости.
  
• Ограничение входящей почты: На уровне почтового сервера можно настроить фильтрацию писем с подозрительными MIME-заголовками, хотя это не гарантирует защиту.
  

Эти меры не заменяют обновление и должны рассматриваться как временное решение.

Как проверить устранение уязвимости​

После применения обновления необходимо убедиться, что уязвимость устранена:

• Проверка версии пакета: Выполните команду apt-cache policy thunderbird и убедитесь, что установленная версия не входит в список уязвимых. Для Ubuntu 22.04 версия должна быть выше 1:140.7.1+build1-0ubuntu0.22.04.1.
  
• Проверка статуса безопасности: Запустите ubuntu-security-status и убедитесь, что для пакета thunderbird нет предупреждений об уязвимостях.
  
• Тестирование: Отправьте тестовое письмо с MIME-вложением и убедитесь, что Thunderbird обрабатывает его без аварийного завершения. Если клиент работает стабильно, обновление, вероятно, успешно применено.
  

Если после обновления проблемы сохраняются, проверьте, не были ли установлены сторонние расширения, которые могут влиять на обработку MIME.

Вывод​

CVE-2026-84639 представляет собой критическую угрозу для пользователей Thunderbird в Ubuntu. Уязвимость позволяет удалённо повлиять на стабильность и конфиденциальность данных через специально сформированное MIME-сообщение.

Обновление пакета до исправленной версии является обязательным и не должно откладываться. Временные меры могут снизить риск, но не заменяют патч.

Рекомендуется включить автоматические обновления безопасности и регулярно проверять статус системы с помощью ubuntu-security-status.

Официальные источники​

1. NVD — CVE-2026-84639
   
2. Ubuntu OSV — CVE-2026-84639
   
3. FIRST EPSS — CVE-2026-84639
   

История обновлений статьи​

• 04.09.2026 — Опубликована первая версия материала.
  
• 05.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.