Mozilla Firefox, Thunderbird: Privilege Escalation in Application Update
Zusammenfassung
Mozilla Firefox und Thunderbird enthalten eine Schwachstelle zur Privilegienerweiterung in der Komponente Application Update, dem integrierten Updater beider Produkte. Laut CVE-Eintrag kann ein Angreifer mit niedrigen Privilegien dies über das Netzwerk ohne Benutzerinteraktion ausnutzen, was zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Die Schwachstelle ist in Firefox 158, Firefox ESR 153.5, Thunderbird 158 und Thunderbird 153.5 behoben.
Betroffen
- Firefox-Versionen vor 158 sowie Firefox ESR-Versionen vor 153.5
- Thunderbird-Versionen vor 158 sowie Thunderbird ESR-Versionen vor 153.5
- Ob Firefox ESR 115 betroffen ist, ist unbekannt; dies ist anhand des Mozilla-Advisory MFSA 2026-106 zu prüfen.
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
- Spätere Versionen wie Firefox 158.0.1 enthalten ebenfalls die Behebung.
Umgehung
Unbekannt.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Recherche ist keine öffentliche Ausnutzung bekannt.
Unsere Empfehlung
- Firefox und Thunderbird auf Version 158 bzw. 153.5 ESR oder eine spätere Version auf allen Arbeitsstationen und Servern aktualisieren.
- Inventar auf Installationen beider Produkte prüfen, einschliesslich ESR-Builds, und die installierte Version bestätigen.
- Mozilla-Advisories auf Updates überwachen und den Status von ESR-115-Builds in der eigenen Umgebung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Bugzilla bug 2037979 bugzilla.mozilla.org
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla MFSA 2026-110 www.mozilla.org
- Ubuntu CVE-2026-109704 ubuntu.com
- Tenable plugin 365350 www.tenable.com
- Mozilla known vulnerabilities: Firefox www.mozilla.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:14.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.