Mozilla Firefox: Informationsoffenlegung und Rechteausweitung im Prozess-Sandboxing
Zusammenfassung
Mozilla hat eine Schwachstelle in der Komponente Security: Process Sandboxing von Firefox, Firefox ESR und Thunderbird behoben. Die Schwachstelle kann zu einer Informationsoffenlegung und zu einer Rechteausweitung führen. CVSS bewertet sie mit 8.8 (hoch), der Angriffsvektor ist das Netzwerk, es sind keine Berechtigungen nötig, aber eine Benutzerinteraktion, etwa das Öffnen einer manipulierten Seite oder Nachricht. Mozilla hat keine technischen Details veröffentlicht, und eine aktive Ausnutzung ist nicht bekannt.
Betroffen
- Firefox-Versionen vor 158
- Firefox ESR-Versionen vor 153.5
- Thunderbird-Versionen vor 158 und vor 153.5 (gemäss der Angabe zur Behebung in der CVE-Beschreibung)
Behoben in
- Firefox 158 (MFSA 2026-106)
- Firefox ESR 153.5 (MFSA 2026-108)
- Thunderbird 158 (MFSA 2026-109)
- Thunderbird 153.5 (MFSA 2026-110)
- Die neueste Version verwenden; Mozilla hat später weitere Versionen veröffentlicht (zum Beispiel Firefox 158.0.1 und ESR 153.5.1), die für diese CVE nicht geprüft wurden.
Umgehung
Unbekannt. Von Mozilla wurde keine Workaround-Massnahme identifiziert; das Aktualisieren ist die einzige bestätigte Gegenmassnahme.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; in den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- Der Angriffsablauf wird in der Advisory von Mozilla nicht beschrieben.
Unsere Empfehlung
- Firefox auf 158 oder neuer, Firefox ESR auf 153.5 oder neuer und Thunderbird auf 158 oder 153.5 oder neuer auf allen Endgeräten aktualisieren; priorisiert werden Systeme, die unsichere Seiten aufrufen oder externe E-Mails empfangen.
- Auf Ubuntu 22.04 prüfen, ob das Thunderbird-Paket-Update installiert wurde.
- NVD und Mozilla-Advisories auf Aktualisierungen prüfen, da der NVD-Status als Deferred gemeldet wurde.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Bugzilla bug 2067976 bugzilla.mozilla.org
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla security advisories index www.mozilla.org
- Debian OSV record CVE-2026-109709 osv.dev
- Ubuntu security tracker CVE-2026-109709 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:14.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.