Thunderbird : mettez à jour avant d’ajouter un compte Exchange
Mozilla corrige un envoi d’identifiants en HTTP pendant la configuration d’un compte Exchange. Installez Thunderbird 158.0.1 ou 153.5.1 selon votre branche. D’autres correctifs concernent XMPP et l’authentification de messagerie.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Avant de configurer un compte Exchange dans Thunderbird, mettez le logiciel à jour. Mozilla publie Thunderbird 158.0.1 et 153.5.1 : ces versions corrigent notamment une requête de découverte de serveur qui envoyait les identifiants saisis sans chiffrement. Le risque décrit concerne cette configuration, pas chaque message reçu.
Le mot de passe partait dans une requête non chiffrée
Les avis Mozilla MFSA 2026-114 et 2026-115, publiés le 20 octobre, décrivent CVE-2026-113866. Lors de l’ajout d’un compte Exchange, Thunderbird interrogeait aussi le service AutoDiscover du domaine en HTTP. Un défaut ajoutait à cette requête non chiffrée les identifiants que l’utilisateur venait de saisir. Un attaquant sur le réseau pouvait ainsi obtenir le mot de passe.
AutoDiscover sert à trouver les paramètres du serveur de messagerie. Le problème se situe dans ce parcours de configuration du client Thunderbird. Il ne signifie ni que le serveur Exchange est corrigé par cette mise à jour, ni que tous vos messages ont transmis votre mot de passe.
XMPP et certaines authentifications ont leurs propres correctifs
CVE-2026-113867 ne touche que la fonction de discussion avec des comptes XMPP. Mozilla décrit des requêtes piégées qui pouvaient faire envoyer des messages ou changer des contacts et des abonnements au nom de l’utilisateur, sans intervention de celui-ci.
CVE-2026-113868 concerne l’authentification à un serveur POP3 ou SMTP malveillant avec NTLM ou GSSAPI. Le défaut peut provoquer un plantage ; la fuite de mémoire décrite concerne seulement NTLM. Ces conditions comptent : le bulletin ne présente pas toute connexion POP3 ou SMTP comme une fuite de mémoire.
Les deux versions embarquent aussi la liste de blocage des certificats intermédiaires eMudhra compromis, y compris lorsque RemoteSettings est désactivé ou inaccessible. Thunderbird 158.0.1 corrige en outre d’autres composants, dont le déchiffrement S/MIME. Les listes exactes diffèrent entre les deux avis.
Vérifier le client avant de reprendre la configuration
Le repère est Thunderbird 158.0.1 ou 153.5.1, selon la branche installée. Utilisez le canal de mise à jour habituel de votre installation, redémarrez le logiciel puis vérifiez son numéro avant d’ajouter le compte. Sur un poste géré, demandez à l’administrateur de confirmer le correctif plutôt que d’installer une copie trouvée ailleurs.
Si vous avez déjà configuré un compte Exchange avec une version concernée, le bulletin ne permet pas de dire si quelqu’un a capté vos identifiants. En cas de suspicion, signalez ce contexte à la personne qui gère le compte et convenez avec elle du changement de mot de passe. Celui-ci ne remplace pas la mise à jour de Thunderbird.
Ces avis ne déclarent pas d’exploitation active des défauts propres à la messagerie. Cela ne prouve pas qu’aucune attaque n’a eu lieu. SecuFocus a lu les bulletins, sans reproduire les failles ni vérifier une installation particulière.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.