- Son 7 gün
- CWE-125
CVE-2026-113868
Thunderbird'de POP3 ve SMTP NTLM kimlik doğrulamasında bellek sızıntısı ve sınır dışı okuma
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- mozilla
ÖzetTürkçe
Thunderbird, POP3 veya SMTP sunucusuna NTLM kullanarak kimlik doğrulaması yaparken sunucunun gönderdiği challenge değerinin geçerli bir base64 olup olmadığını kontrol etmiyordu. Kötü niyetli bir sunucu, Thunderbird'ün NTLM yanıtına başlatılmamış heap belleğini eklemesine neden olabilecek bir challenge gönderebiliyor ve bu bellek sunucuya ifşa ediliyordu. Yalnızca base64 dolgu karakterlerinden (padding) oluşan bir challenge ise sınır dışı okumaya yol açarak Thunderbird'ün çökmesine neden oluyordu. Bu durum NTLM veya GSSAPI kimlik doğrulaması kullanacak şekilde yapılandırılmış hesapları etkiliyordu. Başlatılmamış bellek ifşası yalnızca NTLM'yi etkiliyordu. Bu güvenlik açığı Thunderbird 158.0.1 ve Thunderbird 153.5.1 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
When authenticating to a POP3 or SMTP server using NTLM, Thunderbird did not check whether the server's challenge was valid base64. A malicious server could send a challenge that caused Thunderbird to include uninitialized heap memory in its NTLM response, disclosing that memory to the server. A challenge consisting only of base64 padding also caused an out-of-bounds read, crashing Thunderbird. This affected accounts configured to use NTLM or GSSAPI authentication. The uninitialized memory disclosure only affected NTLM. This vulnerability was fixed in Thunderbird 158.0.1 and Thunderbird 153.5.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Mozilla Thunderbird | ≥ 153.5.1 Etkilenmiyor | – |
| ≥ 158.0.1 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.