リモートの Windows ホストにインストールされている Thunderbird は、158.0.1 より前のバージョンです。したがって、mfsa2026-114のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla は 10 月 17 日に、OneCRL を通じて危険にさらされている中間 eMudhra 証明書をブロックしました。これは、同日に RemoteSettings を通じてクライアントに配布されました。この更新には、更新された OneCRL ブロックリストが含まれており、RemoteSettings がポリシーにより無効になっている場合や、ユーザーのネットワーク環境で利用できない場合でも、セキュリティを危険にさらしている証明書をクライアントが確実にブロックするようにします。(CVE-2026-113470)

  - アカウントを設定する際、Thunderbird の Exchange 自動検出検索は、ドメインの自動検出サービスをプレーン HTTP で照会するようになりました。バグにより、暗号化されていないリクエストにユーザーが入力した認証情報が含まれており、ネットワーク攻撃者がユーザーのパスワードを取得する可能性があります。(CVE-2026-113866)

  - Thunderbird は、送信 XMPP スタンザをシリアル化する際に、属性値をエスケープしませんでした。受信リクエストからの値は自動応答でエコーバックされるため、リモートの XMPP ユーザーが細工されたリクエストを送信し、Thunderbird が任意のスタンザをユーザーの接続に注入する可能性があります。すると、サーバーはそれをユーザーが送信したかのように処理します。これは、やり取りなしに、ユーザーに代わってメッセージを送信したり、連絡先とサブスクリプションの設定を変更したりするために使用できます。このバグの影響を受けるのは、XMPP アカウントとの Thunderbird のチャット機能のみです。(CVE-2026-113867)

  - NTLM を使用して POP3 または SMTP のサーバーに対して認証を行う際に、Thunderbird はサーバーのチャレンジが有効な base64 であるかどうかをチェックしませんでした。悪意あるサーバーがチャレンジを送信することで、Thunderbird が初期化されていないヒープメモリをその NTLM 応答に含め、そのメモリをサーバーに漏洩する可能性があります。base64 パディングのみで構成されるチャレンジも領域外読み取りを引き起こし、Thunderbird をクラッシュさせました。これは、NTLM または GSSAPI 認証を使用するように構成されたアカウントに影響を与えます。初期化されていないメモリの漏えいの影響を受けるのは、NTLMのみです。(CVE-2026-113868)

  - S/MIME メッセージの復号化中に Thunderbird がセキュリティデバイスのパスワード(スマートカードの PIN やプライマリパスワードなど)を要求したとき、メッセージのロードが完了するか、プロンプトが開いている間にキャンセルされる可能性があります。これは、メッセージデコーダーが使用中にそれを解放し、use-after-free と悪用可能なクラッシュを引き起こす可能性がありました。(CVE-2026-113869)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Windows ホストにインストールされている Thunderbird は、153.5.1 より前のバージョンです。したがって、mfsa2026-115のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla は 10 月 17 日に、OneCRL を通じて危険にさらされている中間 eMudhra 証明書をブロックしました。これは、同日に RemoteSettings を通じてクライアントに配布されました。この更新には、更新された OneCRL ブロックリストが含まれており、RemoteSettings がポリシーにより無効になっている場合や、ユーザーのネットワーク環境で利用できない場合でも、セキュリティを危険にさらしている証明書をクライアントが確実にブロックするようにします。(CVE-2026-113470)

  - アカウントを設定する際、Thunderbird の Exchange 自動検出検索は、ドメインの自動検出サービスをプレーン HTTP で照会するようになりました。バグにより、暗号化されていないリクエストにユーザーが入力した認証情報が含まれており、ネットワーク攻撃者がユーザーのパスワードを取得する可能性があります。(CVE-2026-113866)

  - Thunderbird は、送信 XMPP スタンザをシリアル化する際に、属性値をエスケープしませんでした。受信リクエストからの値は自動応答でエコーバックされるため、リモートの XMPP ユーザーが細工されたリクエストを送信し、Thunderbird が任意のスタンザをユーザーの接続に注入する可能性があります。すると、サーバーはそれをユーザーが送信したかのように処理します。これは、やり取りなしに、ユーザーに代わってメッセージを送信したり、連絡先とサブスクリプションの設定を変更したりするために使用できます。このバグの影響を受けるのは、XMPP アカウントとの Thunderbird のチャット機能のみです。(CVE-2026-113867)

  - NTLM を使用して POP3 または SMTP のサーバーに対して認証を行う際に、Thunderbird はサーバーのチャレンジが有効な base64 であるかどうかをチェックしませんでした。悪意あるサーバーがチャレンジを送信することで、Thunderbird が初期化されていないヒープメモリをその NTLM 応答に含め、そのメモリをサーバーに漏洩する可能性があります。base64 パディングのみで構成されるチャレンジも領域外読み取りを引き起こし、Thunderbird をクラッシュさせました。これは、NTLM または GSSAPI 認証を使用するように構成されたアカウントに影響を与えます。初期化されていないメモリの漏えいの影響を受けるのは、NTLMのみです。(CVE-2026-113868)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、158.0.1 より前です。したがって、mfsa2026-114のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla は 10 月 17 日に、OneCRL を通じて危険にさらされている中間 eMudhra 証明書をブロックしました。これは、同日に RemoteSettings を通じてクライアントに配布されました。この更新には、更新された OneCRL ブロックリストが含まれており、RemoteSettings がポリシーにより無効になっている場合や、ユーザーのネットワーク環境で利用できない場合でも、セキュリティを危険にさらしている証明書をクライアントが確実にブロックするようにします。(CVE-2026-113470)

  - アカウントを設定する際、Thunderbird の Exchange 自動検出検索は、ドメインの自動検出サービスをプレーン HTTP で照会するようになりました。バグにより、暗号化されていないリクエストにユーザーが入力した認証情報が含まれており、ネットワーク攻撃者がユーザーのパスワードを取得する可能性があります。(CVE-2026-113866)

  - Thunderbird は、送信 XMPP スタンザをシリアル化する際に、属性値をエスケープしませんでした。受信リクエストからの値は自動応答でエコーバックされるため、リモートの XMPP ユーザーが細工されたリクエストを送信し、Thunderbird が任意のスタンザをユーザーの接続に注入する可能性があります。すると、サーバーはそれをユーザーが送信したかのように処理します。これは、やり取りなしに、ユーザーに代わってメッセージを送信したり、連絡先とサブスクリプションの設定を変更したりするために使用できます。このバグの影響を受けるのは、XMPP アカウントとの Thunderbird のチャット機能のみです。(CVE-2026-113867)

  - NTLM を使用して POP3 または SMTP のサーバーに対して認証を行う際に、Thunderbird はサーバーのチャレンジが有効な base64 であるかどうかをチェックしませんでした。悪意あるサーバーがチャレンジを送信することで、Thunderbird が初期化されていないヒープメモリをその NTLM 応答に含め、そのメモリをサーバーに漏洩する可能性があります。base64 パディングのみで構成されるチャレンジも領域外読み取りを引き起こし、Thunderbird をクラッシュさせました。これは、NTLM または GSSAPI 認証を使用するように構成されたアカウントに影響を与えます。初期化されていないメモリの漏えいの影響を受けるのは、NTLMのみです。(CVE-2026-113868)

  - S/MIME メッセージの復号化中に Thunderbird がセキュリティデバイスのパスワード(スマートカードの PIN やプライマリパスワードなど)を要求したとき、メッセージのロードが完了するか、プロンプトが開いている間にキャンセルされる可能性があります。これは、メッセージデコーダーが使用中にそれを解放し、use-after-free と悪用可能なクラッシュを引き起こす可能性がありました。(CVE-2026-113869)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - NTLM を使用して POP3 または SMTP のサーバーに対して認証を行う際に、Thunderbird はサーバーのチャレンジが有効な base64 であるかどうかをチェックしませんでした。悪意あるサーバーがチャレンジを送信することで、Thunderbird が初期化されていないヒープメモリをその NTLM 応答に含め、そのメモリをサーバーに漏洩する可能性があります。base64 パディングのみで構成されるチャレンジも領域外読み取りを引き起こし、Thunderbird をクラッシュさせました。これは、NTLM または GSSAPI 認証を使用するように構成されたアカウントに影響を与えます。初期化されていないメモリの漏えいの影響を受けるのは、NTLMのみです。この脆弱性は、Thunderbird 158.0.1 および Thunderbird 153.5.1 で修正されました。
    (CVE-2026-113868)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの macOS または Mac OS X のホストにインストールされている Thunderbird のバージョンは、153.5.1 より前です。したがって、mfsa2026-115のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Mozilla は 10 月 17 日に、OneCRL を通じて危険にさらされている中間 eMudhra 証明書をブロックしました。これは、同日に RemoteSettings を通じてクライアントに配布されました。この更新には、更新された OneCRL ブロックリストが含まれており、RemoteSettings がポリシーにより無効になっている場合や、ユーザーのネットワーク環境で利用できない場合でも、セキュリティを危険にさらしている証明書をクライアントが確実にブロックするようにします。(CVE-2026-113470)

  - アカウントを設定する際、Thunderbird の Exchange 自動検出検索は、ドメインの自動検出サービスをプレーン HTTP で照会するようになりました。バグにより、暗号化されていないリクエストにユーザーが入力した認証情報が含まれており、ネットワーク攻撃者がユーザーのパスワードを取得する可能性があります。(CVE-2026-113866)

  - Thunderbird は、送信 XMPP スタンザをシリアル化する際に、属性値をエスケープしませんでした。受信リクエストからの値は自動応答でエコーバックされるため、リモートの XMPP ユーザーが細工されたリクエストを送信し、Thunderbird が任意のスタンザをユーザーの接続に注入する可能性があります。すると、サーバーはそれをユーザーが送信したかのように処理します。これは、やり取りなしに、ユーザーに代わってメッセージを送信したり、連絡先とサブスクリプションの設定を変更したりするために使用できます。このバグの影響を受けるのは、XMPP アカウントとの Thunderbird のチャット機能のみです。(CVE-2026-113867)

  - NTLM を使用して POP3 または SMTP のサーバーに対して認証を行う際に、Thunderbird はサーバーのチャレンジが有効な base64 であるかどうかをチェックしませんでした。悪意あるサーバーがチャレンジを送信することで、Thunderbird が初期化されていないヒープメモリをその NTLM 応答に含め、そのメモリをサーバーに漏洩する可能性があります。base64 パディングのみで構成されるチャレンジも領域外読み取りを引き起こし、Thunderbird をクラッシュさせました。これは、NTLM または GSSAPI 認証を使用するように構成されたアカウントに影響を与えます。初期化されていないメモリの漏えいの影響を受けるのは、NTLMのみです。(CVE-2026-113868)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
369077	Mozilla Thunderbird < 158.0.1	Nessus	Windows	2026/10/21	2026/10/22	medium
369496	Mozilla Thunderbird < 153.5.1	Nessus	Windows	2026/10/21	2026/10/21	medium
369076	Mozilla Thunderbird < 158.0.1	Nessus	MacOS X Local Security Checks	2026/10/21	2026/10/22	medium
368985	Linux Distros のパッチ未適用の脆弱性: CVE-2026-113868	Nessus	Misc.	2026/10/21	2026/10/22	medium
369495	Mozilla Thunderbird < 153.5.1	Nessus	MacOS X Local Security Checks	2026/10/21	2026/10/21	medium

検出

プラグインの検索

medium

medium

medium

medium

medium