Thunderbird 140.15 এখনই আপডেট করুন—mail parser-এ একাধিক high-risk ত্রুটি
Mozilla ১ সেপ্টেম্বর ২০২৬ Thunderbird 140.15 প্রকাশ করে ১৪টি CVE-সংশ্লিষ্ট নিরাপত্তা ত্রুটি ঠিক করেছে। Mozilla-র MFSA 2026-87 advisory অনুযায়ী, সংশোধনগুলোর মধ্যে high-impact MIME parsing ত্রুটির পাশাপাশি sandbox escape, privilege escalation ও use-after-free সমস্যা রয়েছে; 140 ESR ব্যবহারকারীর প্রয়োজনীয় ন্যূনতম সংশোধিত সংস্করণ 140.15।
Tenable-এর ২ সেপ্টেম্বর হালনাগাদ করা রেকর্ডে একই ১৪টি CVE তালিকাভুক্ত এবং অবস্থাটি “Released” দেখানো হয়েছে। তবে সব ত্রুটি mail parser-এর নয় এবং সবগুলোর impact-ও high নয়: সরাসরি MIME parsing ত্রুটিটি high, mail-header ত্রুটিটি medium এবং IMAP server response-সংক্রান্ত ত্রুটিটি low impact।
140 ESR-এ প্রয়োজনীয় সংস্করণ কোনটি
Thunderbird 140 ESR শাখায় থাকলে 140.15.0esr বা পরবর্তী সংশোধিত সংস্করণ ইনস্টল করতে হবে। Thunderbird-এর 140.15.0esr release notes সংস্করণটির ১ সেপ্টেম্বর ২০২৬ প্রকাশ এবং security fixes অন্তর্ভুক্ত থাকার তথ্য দেয়। ফলে 140.14 বা তার আগের build-এ এই advisory-র সংশোধনগুলো নেই।
“140.15” কেবল 140 ESR শাখার সংশোধনের সীমা; এটি Thunderbird-এর সব শাখার একমাত্র গ্রহণযোগ্য সংস্করণ নয়। কোনো প্রতিষ্ঠান অন্য সমর্থিত ESR বা মাসিক release পরিচালনা করলে সেই শাখার সংশ্লিষ্ট নিরাপত্তা সংস্করণ অনুসরণ করতে হবে। তাই inventory-তে শুধু প্রধান version নয়, সম্পূর্ণ version string ও ব্যবহৃত release channel দুটিই দেখা জরুরি।
Mail header, MIME ও IMAP—তিনটি আলাদা ঝুঁকি
ইমেল প্রক্রিয়াকরণের সঙ্গে সবচেয়ে সরাসরি যুক্ত high-impact ত্রুটি CVE-2026-84639। নির্দিষ্ট ধরনের MIME body-তে error condition তৈরি হলে uninitialized memory ব্যবহৃত হতে পারত। MIME কাঠামো বার্তার লেখা, সংযুক্তি ও বিভিন্ন content part বিন্যস্ত করে বলে crafted message এই code path-এ পৌঁছাতে পারে; তবে advisory সক্রিয় exploitation বা নিশ্চিত account takeover-এর কথা বলেনি।
CVE-2026-84640-এ maliciously constructed mail header buffer-এর শেষ সীমার বাইরে এক byte পড়ার সুযোগ তৈরি করতে পারত। এটি সরাসরি mail parser-এর ত্রুটি হলেও Mozilla এর impact নির্ধারণ করেছে medium। অতএব MIME ও header parser-এর দুই ত্রুটিকে একই ঝুঁকির স্তরে রাখা ঠিক নয়।
CVE-2026-84641 আবার সাধারণ প্রেরকের ইমেল নয়, malicious IMAP server-এর crafted ID response নিয়ে। এমন response use-after-free ও heap-memory disclosure ঘটাতে পারত এবং heap-এর কিছু অংশ শেষ পর্যন্ত prefs.js ফাইলে থেকে যেতে পারত। এর impact low; অর্থাৎ crafted email, crafted header এবং ক্ষতিকর IMAP server—তিনটি পৃথক আক্রমণপথ।
অন্য high-impact ত্রুটিগুলো কেন আলাদা
Release-টির অন্য high-impact সমস্যার মধ্যে CVE-2026-75874, CVE-2026-84119 ও CVE-2026-84121 sandbox escape-এর সঙ্গে যুক্ত। CVE-2026-16365 DOM Workers-এ privilege escalation এবং CVE-2026-84120, CVE-2026-84122 ও CVE-2026-84124 Audio/Video ও DOM উপাদানে use-after-free ত্রুটি। এগুলো Thunderbird-এর অন্তর্নিহিত browser-engine উপাদানসংক্রান্ত; এগুলোকে mail-header parser-এর ত্রুটি বলা যাবে না।
CVE-2026-84143 ও CVE-2026-84145 অভ্যন্তরীণভাবে শনাক্ত একাধিক bug-এর সমষ্টি। কিছু bug-এ memory corruption বা অন্য security-relevant defect-এর প্রমাণ পাওয়া গিয়েছিল এবং যথেষ্ট প্রচেষ্টায় কয়েকটি কাজে লাগানো সম্ভব হতে পারত বলে Mozilla মূল্যায়ন করেছে। Graphics-এর invalid pointer-সংক্রান্ত CVE-2026-84131 ও DOM Navigation-এর CVE-2026-16371 moderate impact।
Advisory-র সাধারণ caveat অনুযায়ী, Thunderbird-এ ইমেল পড়ার সময় scripting নিষ্ক্রিয় থাকায় এই ত্রুটিগুলোর অধিকাংশ সাধারণভাবে ইমেলের মাধ্যমে exploit করা যায় না; browser বা browser-like context-এ ঝুঁকি থাকতে পারে। এই caveat অবশ্য MIME body, mail header ও IMAP response নিয়ে আলাদাভাবে বর্ণিত দুর্বলতাগুলো মুছে দেয় না। আপডেটটি তাই আলাদা code path-এ থাকা সমস্যাগুলোর সম্মিলিত সংশোধন।
ইনস্টল করা সংস্করণ যেভাবে যাচাই করবেন
Windows ও Linux-এ Thunderbird খুলে Help > About Thunderbird নির্বাচন করুন। macOS-এ application menu থেকে Thunderbird > About Thunderbird খুলুন। সেখানে সম্পূর্ণ version string দেখুন: 140 ESR শাখায় 140.15.0esr, 140.15 বা পরবর্তী সংশোধিত build থাকা দরকার। আপডেটের পর restart চাওয়া হলে তা শেষ না হওয়া পর্যন্ত পুরোনো process চলতে পারে।
Linux repository-তে প্যাকেজ পৌঁছাতে দেরি হলে graphical window-এর পাশাপাশি terminal-এ কার্যকর executable ও package candidate আলাদাভাবে পরীক্ষা করুন:
- thunderbird --version চালিয়ে PATH থেকে ব্যবহৃত executable-এর সংস্করণ দেখুন। একাধিক installation সন্দেহ হলে command -v thunderbird দিয়ে binary-টির অবস্থান শনাক্ত করুন।
- Debian বা Ubuntu-ভিত্তিক সিস্টেমে apt-cache policy thunderbird দিয়ে Installed ও Candidate তুলনা করুন। Fedora-তে rpm -q thunderbird, Snap-এ snap list thunderbird এবং Flatpak-এ flatpak info org.mozilla.Thunderbird প্রাসঙ্গিক সংস্করণ দেখায়।
- Candidate এখনও 140.15-এর নিচে থাকলে package index refresh করে আবার পরীক্ষা করুন। Managed repository বা staged deployment ব্যবহৃত হলে প্রতিষ্ঠানের administrator-এর অনুমোদিত package status মিলিয়ে নিন; অন্য উৎসের package বসালে পরবর্তী managed update path বদলে যেতে পারে।
Package database ও About window-তে সংস্করণ না মিললে launcher অন্য installation খুলছে কি না দেখুন। Distro package, Flatpak ও Snap পাশাপাশি থাকলে একই যন্ত্রে একাধিক Thunderbird executable থাকতে পারে। তাই IT inventory-তে প্যাকেজের রেকর্ডের সঙ্গে ব্যবহারকারী বাস্তবে চালানো executable-এর version string মিলিয়ে নেওয়া প্রয়োজন।
এখন নিশ্চিত অবস্থা হলো: Thunderbird 140.15 প্রকাশিত, ১৪টি CVE-সংশ্লিষ্ট সংশোধন নথিভুক্ত এবং 140 ESR-এর আগের build-গুলোতে সেগুলো অনুপস্থিত। Repository notification বা নতুন Candidate দেখা ইনস্টলেশন সম্পন্ন হওয়ার প্রমাণ নয়; 140 ESR যন্ত্রে About window বা কার্যকর executable-এ অন্তত 140.15 দেখা গেলেই এই নির্দিষ্ট সংশোধন উপস্থিত বলে ধরা যাবে।
আরও পড়ুন:
আমাদের নিউজলেটার নিন
সর্বশেষ Web3, AI ও ক্রিপ্টো সংবাদ সরাসরি আপনার ইনবক্সে পান।