2026-1766: Thunderbird, Thunderbird ESR: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2026-05-04 14:20): Neues Advisory
Version 2 (2026-05-05 10:49): Für Debian 11 Bullseye (LTS) steht Version 1:140.10.1esr-1~deb11u1 von 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 3 (2026-05-20 15:20): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 10 (x86_64, aarch64), 4 years of updates 10.2 (x86_64, aarch64), Extended Life Cycle 10.2 (x86_64, aarch64) und Extended Update Support 10.2 (x86_64, aarch64) stehen Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben. Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 9 (x86_64, aarch64), 4 years of updates 9.8 (aarch64), Extended Life Cycle 9.8 (x86_64, aarch64) und Extended Update Support 9.8 (x86_64, aarch64) stehen Sicherheitsupdates für 'thunderbird' bereit, um 29 Schwachstellen zu beheben. Hiermit werden auch Schwachstellen adressiert, die bereits mit der vorherigen Thunderbird-Version behoben wurden.
Version 4 (2026-05-26 15:53): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 8 (x86_64, aarch64) und Extended Life Cycle 8.10 (x86_64, aarch64) stehen Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 5 (2026-05-28 07:27): Für Oracle Linux in Version 8 (x86_64, aarch64) stehen zu RHSA-2026:20586 korrespondierende Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 6 (2026-06-09 10:41): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 4 years of updates 10.0 (x86_64, aarch64), Extended Update Support 10.0 (x86_64, aarch64) und Extended Update Support Extension 8.4 (x86_64) sowie Red Hat Enterprise Linux Server in Version AUS 8.4 (x86_64) stehen Sicherheitsupdates für 'thunderbird' bereit, um die vier Schwachstellen zu beheben.
Version 7 (2026-06-09 11:23): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 4 years of updates 9.6 (aarch64), Extended Life Cycle 9.6 (x86_64, aarch64) und Extended Update Support 9.6 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server in Version AUS 9.6 (x86_64) stehen Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 8 (2026-06-09 11:55): Für Red Hat Enterprise Linux for x86_64 in Version Extended Update Support Extension 8.8 (x86_64) sowie Red Hat Enterprise Linux Server in Version TUS 8.8 (x86_64) stehen Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 9 (2026-06-10 10:47): Für Red Hat Enterprise Linux for x86_64 / ARM 64 in den Versionen 4 years of updates 9.2 und 9.4 (aarch64) und Extended Life Cycle 9.2 und 9.4 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server in Version AUS 9.2 und 9.4 (x86_64) stehen Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 10 (2026-06-10 14:55): Für Red Hat Enterprise Linux for x86_64 in Version Extended Update Support Extension 8.6 (x86_64) sowie Red Hat Enterprise Linux Server in Version AUS 8.6 (x86_64) stehen Sicherheitsupdates für 'thunderbird' bereit, um vier Schwachstellen zu beheben.
Version 11 (2026-06-29 12:03): Für Oracle Linux in Version 9 (x86_64, aarch64) stehen zu RHSA-2026:19348 korrespondierende Sicherheitsupdates für 'thunderbird' bereit, um 29 Schwachstellen zu beheben.

Betroffene Software

Office

Betroffene Plattformen

Apple
Google
Linux
Microsoft
Oracle

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, Sicherheitsvorkehrungen zu umgehen und beliebigen Programmcode auszuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Die meisten Schwachstellen erfordern die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung einer Schwachstelle kann Einfluss auf andere Komponenten haben.

Die Mozilla Foundation informiert über die Schwachstellen und stellt Thunderbird 150.0.1 sowie Thunderbird ESR 140.10.1 als Sicherheitsupdates zur Verfügung.

Für Debian 12 Bookworm (oldstable) steht Version 1:140.10.1esr-1~deb12u1 und für Debian 13 Trixie (stable) steht Version 1:140.10.1esr-1~deb13u1 von 'thunderbird' bereit, um vier Schwachstellen zu beheben.

Schwachstellen:

CVE-2026-7320

Schwachstelle in Mozilla Firefox und Mozilla Firefox ESR ermöglicht Ausspähen von Informationen

CVE-2026-7321

Schwachstelle in Mozilla Firefox ESR ermöglicht Umgehen von Sicherheitsvorkehrungen

CVE-2026-7322

Schwachstelle in Mozilla Firefox und Mozilla Firefox ESR ermöglicht Ausführen beliebigen Programmcodes

CVE-2026-7323