Mozilla Firefox und Thunderbird: Sandbox-Escape in der Networking-Komponente

Zusammenfassung

Ein Fehler in der Networking-Komponente von Mozilla Firefox und Thunderbird ermöglicht einen Sandbox-Escape aufgrund fehlerhafter Grenzwertbedingungen. Mozilla stuft die Auswirkung als hoch ein, der CVSS-Wert beträgt 9.6 (Critical). Ein Angreifer könnte einen Benutzer auf eine manipulierte Webseite oder Inhalte locken und so, in Kombination mit weiteren Fehlern, aus der Sandbox in besser privilegierte Bereiche der Anwendung gelangen.

Betroffen

• Mozilla Firefox: Versionen vor 158, Firefox ESR 115.44 und spätere 115.x-Versionen sind nicht betroffen, Firefox ESR 153.5 ist der korrigierte Zweig (gemäss CVE-Eintrag: nicht betroffen 115.44 bis <= 115.*, 153.5 bis <= 153.*, 158 bis <= *)
• Mozilla Thunderbird: Versionen vor 153.5 und 158 (gemäss CVE-Eintrag)
• Distributionspakete (Debian): firefox-esr auf Debian 12 vor 153.5.0esr-1~deb12u1
• Ubuntu: Thunderbird auf 22.04 LTS (jammy) als verwundbar aufgeführt, Firefox als nicht betroffen aufgeführt

Behoben in

• Firefox 158
• Firefox ESR 153.5
• Firefox ESR 115.44
• Thunderbird 158
• Thunderbird 153.5
• Debian firefox-esr 153.5.0esr-1~deb12u1 (DSA 6560-1, DLA 4836-1)
• Ubuntu Thunderbird korrigierte Version: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen wurde kein dokumentierter Workaround gefunden.

Ausnutzung

• Gemäss den geprüften Quellen nicht bekannt als in freier Wildbahn ausgenutzt; CISA SSVC führt Exploitation als none und Automatable als no.
• EPSS wird mit 0.32% angegeben.
• Kein öffentlicher Proof of Concept gefunden; dies bedeutet nicht, dass keiner existiert.

Unsere Empfehlung

• Firefox, Firefox ESR und Thunderbird auf allen Endgeräten auf die oben genannten korrigierten Versionen aktualisieren.
• Bei Linux-verwalteten Installationen die Updates der Distribution einspielen (zum Beispiel Debian DSA 6560-1 und DLA 4836-1; für Thunderbird auf Ubuntu 22.04 den Patch-Status prüfen).
• Alle Firefox- und Thunderbird-Installationen inventarisieren, einschliesslich verwalteter und portabler Kopien, und deren Versionen überprüfen.
• Auf Herstellerupdates und Meldungen über aktive Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
• Mozilla Bugzilla bug 2059151 bugzilla.mozilla.org
• Ubuntu CVE-2026-109708 ubuntu.com
• Debian OSV record DEBIAN-CVE-2026-109708 osv.dev
• HKCERT security bulletin Mozilla products www.hkcert.org
• SUSE CVE record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:03.