Как подтвердить исправления MIME-парсера в Thunderbird 155 по версии и каналу обновления, не открывая подозрительное письмо и не создавая вредоносный тестовый MIME.
Не открывать письмо для проверки
Наличие исправления устанавливается по загруженной версии, а не по попытке открыть подозрительное сообщение. Не снимайте карантин, не включайте удалённое содержимое и не пересылайте письмо другому клиенту ради сравнения. Зафиксируйте только имя продукта, desktop или mobile, фактическую версию из About, build ID и источник установки. MFSA относится к Thunderbird и называет исправленной ветку 155; она не говорит, что каждое повреждённое письмо эксплуатирует ошибку. Если сообщение уже вызвало crash, оставьте его закрытым и работайте с агрегированным crash ID.
Канал важнее похожего номера
Rapid Release, ESR и пакет дистрибутива могут иметь разные номера и график исправлений. Сначала запишите канал, затем сверяйте его с advisory, посвящённой именно этой ветке. Номер 155.0 в официальных release notes подтверждает Rapid desktop release от 1 сентября. Не переименовывайте ESR 153.2 или 140.15 в «эквивалент 155»: MFSA содержит отдельные списки для разных выпусков, а две MIME-записи на странице 2026-86 явно указаны в наборе Thunderbird 155. Если администратор применяет backport, нужна его vendor advisory и package revision.
Что именно подтверждают источники
Mozilla описывает два разных класса: неинициализированная память при ошибочном состоянии некоторых MIME bodies и чтение одного байта за границей буфера для специально сформированного mail header. Это техническая граница parser input, но не готовый диагноз конкретного crash. Release notes подтверждают дату и версию, а security advisory — идентификаторы и статус fixed in. Ни один источник не требует открыть сообщение, извлечь вложение или создавать malformed образец. Поэтому безопасный вывод ограничивается inventory и штатным обновлением.
Штатное обновление и контроль
Обновляйте Thunderbird через встроенный механизм или доверенный менеджер пакетов организации. После обновления перезапустите приложение и снова снимите About version и build ID. Контроль состоит в том, что обычная тестовая почта из собственного ящика открывается и синхронизируется; подозрительное сообщение остаётся закрытым. Не отключайте антивирус, MIME-защиту, режим удалённого содержимого или sandbox. Если версия остаётся старой, проверьте policy и источник пакета. Если штатный клиент падает без открытия письма, передайте crash ID владельцу продукта и остановите эту ветку.
Вердикты без опасного PoC
PASS-VERSION означает Thunderbird Desktop 155 или более новую ветку, чья официальная advisory явно включает исправление. UPDATE-REQUIRED — загружен 154 или иной подтверждённо затронутый выпуск. VENDOR-BACKPORT — номер ниже, но поставщик документировал backport; его нужно приложить отдельно. UNKNOWN — мобильный клиент, неясный канал или package revision без соответствующей advisory. Никогда не присваивайте PASS после того, как вредоносно сформированное письмо «просто открылось»: отсутствие crash не доказывает отсутствие чтения за границей и создаёт ненужный риск.
Минимальный отчёт
Для поддержки достаточно ОС, архитектуры, канала Thunderbird, версии, build ID, источника установки, времени crash и обезличенного crash ID. Не прикладывайте EML, MIME body, заголовки с адресами, вложение, профиль, prefs.js и содержимое почты. Укажите, было ли сообщение открыто до обновления, но не повторяйте действие. Stop-rule действует, если просят скачать образец, отключить защиту или проверить на рабочем ящике. Итог такой проверки говорит только о версионной границе двух исправлений и не подтверждает факт атаки, массовость проблемы или поисковый спрос.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика. Факты и границы вывода сверены 4 сентября 2026 года по указанным прямым официальным и первичным источникам. Текст написан самостоятельно, опасные действия и реальные пользовательские данные в проверку не включены.
Источники и проверка
- Thunderbird 155 release notes проверено 2026-09-04
- Mozilla MFSA 2026-86 проверено 2026-09-04
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.