「メールの送信者を偽装できる問題が見つかる、多数のメールクライアントが影響を受ける」記事へのコメント

Mozilla Thunderbird は MTA が悪いから対策する気がないと表明

[srad.jp (48253)]

C言語系の言語だと NUL (\x00) を文字列の終了とみなして勝手に処理を打ち切るとか色々問題起こるので、NULLバイトとかASCIIの制御文字はバリエーションで弾くのが常識だと思ってたけど、いまだにこんなレベルの低い脆弱性が主要MUAにあったとは驚き。

今はどうだか知らんが、10年ぐらい前はphpでもC言語系の非バイナリセーフ関数が入り乱れてて ereg() ですらNUL文字以降が無視されたからバリエーション回避に悪用されたし、ディレクトリトラバーサルもやり放題だったから、入力値は受け取った時点で \x00 が含まれていないことをバイナリセーフ関数で確認するのが常

Thunderbird開発者は24時間以内にパッチを用意すると表明

[Anonymous Coward]

WIREDの記事 [wired.com]が更新されてコメントが出ています。

(On Wednesday, a Thunderbird developer Jörg Knobloch wrote to WIRED to note that Thunderbird will make a patch avaiable in the next 24 hours.)

パッチは出ているんでしょうか？

Re:Thunderbird開発者は24時間以内にパッチを用意すると表明

[srad.jp (48253)]

情報ありがとうございます。
Mailsploit 脆弱性は 2017年8月21日 に Mozilla へ報告され「対応しない」という返答をもらった [google.com] ようですが、方針が変わったのですね。
Thunderbirdのアップデート機能からはまだパッチを受け取れないようですがそろそろ公開されるかもしれません。