Kerngegevens
- Leverancier
- Mozilla
- Product
- Thunderbird
- Soort software
- browser
- Getroffen versies
- Thunderbird ouder dan 158
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Thunderbird 158 MFSA2026-109 (opent in een nieuw venster)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In libmime, het onderdeel van Thunderbird dat e-mailberichten verwerkt, rekende de code op meerdere plekken met 32-bit getallen zonder te controleren of die konden overlopen. Bij een voldoende groot bericht kon daardoor een geheugenbuffer te klein uitvallen. Vervolgens kon er data buiten die buffer worden geschreven, in naastgelegen stukken geheugen. Mozilla heeft dit opgelost in Thunderbird 158.
Wie loopt risico?
Je loopt risico als je een Thunderbird-versie gebruikt die ouder is dan 158. De score van 8,4 (ernst hoog) gaat uit van een lokale aanvalsroute, waarbij geen inloggegevens en geen handeling van de gebruiker nodig zijn. In de gegevens staat geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Thunderbird | 158 | MFSA2026-109 (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Kijk na welke versie van Thunderbird je gebruikt. Is dat een versie lager dan 158, werk dan bij.
Werk bij naar Thunderbird 158 of nieuwer
Installeer Thunderbird 158 of een nieuwere versie. Daarin is de fout in libmime verholpen. Mozilla noemt geen oplossing in de ESR-lijn 153.5.
Controleer ook andere installaties
Gebruik je Thunderbird op meerdere computers, controleer dan op elk apparaat of de versie bijgewerkt is.
Lees het advies van Mozilla
Het advies mfsa2026-109 van Mozilla beschrijft de oplossing.
Dezelfde update lost meer lekken op
Thunderbird 158 lost ook een vastloper via Exchange-antwoorden op (CVE-2026-110249, https://lekkenradar.nl/cve/cve-2026-110249/ (opent in een nieuw venster)). Alle lekken uit deze release staan in het overzicht: https://lekkenradar.nl/update-mozilla-firefox-158-oktober-2026/ (opent in een nieuw venster).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Op meerdere plekken in libmime waar buffers groeien, werd de grootteberekening uitgevoerd in 32-bit typen zonder controle op overloop. Bij een voldoende groot bericht kon de bewaking van de groei niet meer werken, of kon de buffer kleiner worden herverdeeld dan nodig was. Een daaropvolgende memcpy schreef dan door de aanvaller bepaalde data over aangrenzende heap-allocaties heen. Dit is een integeroverloop (CWE-190) met een heap-schrijffout als gevolg. De CVSS 3.1-vector is AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, met score 8,4. De fout is verholpen in Thunderbird 158.
CVSS-vector (versie 3.1, basisscore 8,4, bron: CNA)
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-190 · Integeroverloop (integer overflow of wraparound)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee