Thunderbird 160 und 153.7 schließen Lücken bei OAuth-Token, Kalendern und NTLM

Mozilla hat am 10. November 2026 Thunderbird 160 und 153.7 sowie Firefox 160, Firefox ESR 153.7 und ESR 115.45 veröffentlicht. Neben zahlreichen Speicherfehlern aus dem gemeinsamen Browser-Unterbau schließen die Thunderbird-Versionen fünf Lücken, die nur das Mailprogramm betreffen: Kalender-Zugangsdaten konnten an einen Proxy gehen, OAuth2-Token bei Exchange-Konten unverschlüsselt übertragen werden, und unter Windows konnten NTLM-Anmeldedaten abfließen.

Betroffen sind alle Arbeitsplätze mit Thunderbird oder Firefox, in Firmen vor allem die ESR-Versionen. Hinweise auf Angriffe enthalten die Advisories nicht, keine Lücke ist als kritisch eingestuft. Die Updates gehören in die normale Verteilung dieser Woche.

Was ist passiert?

Die Advisories zählen für Firefox 160 99 CVE-Einträge, 57 davon mit hoher Schwere. Für ESR 153.7 sind es 81, für ESR 115.45 28, für Thunderbird 160 103 und für Thunderbird 153.7 86. Ein Grund für die vielen Einträge: In den Thunderbird-Advisories erklärt Mozilla, intern gefundene Speicherfehler nicht mehr in einer Sammel-CVE zusammenzufassen, sondern für jeden Fehler einen eigenen Eintrag zu veröffentlichen. Als Melder vieler Einträge nennt das Firefox-Advisory OpenAI Codex Security.

Inhaltlich wichtiger sind die fünf Thunderbird-eigenen Fehler, die in Thunderbird 160 und 153.7 behoben sind:

• CVE-2026-126132 (hoch): Beim Weiterleiten, bei „Als neu bearbeiten“ oder beim Ziehen eines Anhangs in das Verfassen-Fenster konnte ein präparierter Link-Anhang (.desktop unter Linux, .url oder .lnk unter Windows) durch den Inhalt der Datei oder Adresse ersetzt werden, auf die er zeigt. So konnten lokale Dateien oder Inhalte aus dem eigenen Netz beim Empfänger oder beim Mailanbieter landen.
• CVE-2026-126133: Fragte ein HTTP-Proxy nach Anmeldung, konnte Thunderbird ihm Benutzername und Passwort eines CalDAV- oder ICS-Kalenders schicken, bei gespeicherten Passwörtern ohne Zutun des Nutzers und auch bei Kalendern über HTTPS.
• CVE-2026-126134: Ließ sich ein Nutzer zu einem Feed-Abo auf eine file:-Adresse auf einer Netzwerkfreigabe verleiten, schickte Windows die NTLM-Anmeldedaten an den Server des Angreifers.
• CVE-2026-126135: Bei STARTTLS für SMTP und POP3 konnte ein Angreifer im Netzweg Serverantworten vor dem TLS-Handshake einschleusen. Die Verschlüsselung selbst und die Zugangsdaten blieben laut Mozilla unberührt.
• CVE-2026-126136: Bei Exchange-Konten über EWS oder Microsoft Graph mit OAuth2 sendete Thunderbird das Zugriffstoken auch an eine unverschlüsselte HTTP-Adresse. Wer mitlesen konnte, kam bis zum Ablauf des Tokens an das Postfach.

Wer ist betroffen?

Alle Thunderbird-Versionen vor 160 und 153.7 sowie Firefox vor 160, ESR 153.7 und ESR 115.45. Die Anhangslücke betrifft laut Mozilla nur Linux und Windows, die NTLM-Lücke nur Windows. Viele der Browser-Fehler lassen sich laut Mozilla in Thunderbird nicht per E-Mail ausnutzen, weil beim Lesen von Mails keine Skripte laufen.

Wie kritisch ist das?

Mozilla stuft die gemeldeten Fehler als hoch, mittel oder niedrig ein, kritisch ist keiner. Für Firefox zählt das Advisory 57 hohe Einträge. 13 Einträge betreffen Ausbrüche aus der Sandbox, neun davon sind hoch eingestuft. Die Thunderbird-Fehler sind einzeln nur mittel bis hoch bewertet, betreffen aber genau die Daten, um die es Angreifern geht: Postfachzugriff, Kalenderpasswörter und Windows-Anmeldedaten.

Was sollten Admins jetzt tun?

• Inventar: installierte Versionen von Firefox, Firefox ESR und Thunderbird erfassen, auch auf Terminalservern.
• Patchstand: auf Firefox 160 oder ESR 153.7 und Thunderbird 160 oder 153.7 aktualisieren, bei Verteilung über Richtlinien oder Softwareverteilung die Pakete freigeben.
• Exchange-Konten in Thunderbird prüfen: Die konfigurierte Server-Adresse muss mit https:// beginnen.
• Kalender über Proxy: Bei Verdacht auf einen nicht vertrauenswürdigen Proxy Kalenderpasswörter ändern.
• Ausgehendes SMB zu fremden Zielen an der Firewall sperren, das bremst NTLM-Abflüsse auch über andere Programme.

Einordnung für Unternehmen

Die Zahl der Einträge wirkt dramatisch, hängt aber auch mit der neuen Zählweise zusammen. Für kleine Firmen mit Thunderbird sind die fünf Mail-spezifischen Fehler der eigentliche Grund für ein zügiges Update, vor allem dort, wo Thunderbird mit Exchange oder einem eigenen CalDAV-Server arbeitet.

Passende Anleitungen auf S-EDV

• Firefox 159 und ESR 153.6 schließen 167 Sicherheitslücken
• KeyHelp: E-Mail-Programme mit Autokonfiguration einrichten (Thunderbird, Outlook, iPhone)

Quellen

• Mozilla: Advisory zu Thunderbird 160
• Mozilla: Advisory zu Thunderbird 153.7
• Mozilla: Advisory zu Firefox 160
• Mozilla: Advisory zu Firefox ESR 153.7
• Deskmodder: Firefox 160 und ESR-Versionen