Mozilla Firefox und Thunderbird: Inkorrekte Grenzwertbedingungen in JavaScript Engine

Zusammenfassung

Mozilla Firefox und Thunderbird enthalten eine Schwachstelle durch inkorrekte Grenzwertbedingungen in der Komponente JavaScript Engine. Gemäss dem angegebenen CVSS-Vektor kann ein entfernter Angreifer die Vertraulichkeit und Integrität beeinträchtigen, wenn ein Benutzer mit einem betroffenen Browser oder Mail-Client eine manipulierte oder kompromittierte Webseite aufruft; Berechtigungen sind nicht erforderlich. Mozilla hat das Problem in Firefox 158, Firefox ESR 115.43, Firefox ESR 153.5, Thunderbird 158 und Thunderbird 153.5 behoben.

Betroffen

• Mozilla Firefox Versionen vor 158 (gemäss den Versionsbereichen im CVE-Eintrag sind 158 und neuer nicht betroffen)
• Mozilla Firefox ESR 115 vor 115.43
• Mozilla Firefox ESR 153 vor 153.5
• Mozilla Thunderbird 153 vor 153.5
• Mozilla Thunderbird Versionen vor 158 (gemäss den Versionsbereichen im CVE-Eintrag sind 158 und neuer nicht betroffen)
• Linux-Distributionspakete: eigene Sicherheitshinweise prüfen (Thunderbird auf Ubuntu 22.04 LTS ist als verwundbar markiert)

Behoben in

• Firefox 158
• Firefox ESR 115.43
• Firefox ESR 153.5
• Thunderbird 158
• Thunderbird 153.5
• Red Hat RHEL 9.8: firefox 153.5.0-1.el9_8
• AlmaLinux 8: firefox 153.5.0-1.el8_10
• Unbekannt für Thunderbird ESR und die genauen Build-Versionen der Windows- und macOS-Installationspakete

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert; das Einspielen des Updates ist die erforderliche Massnahme.

Ausnutzung

• Keine bekannte Ausnutzung; zum Zeitpunkt der Recherche nicht im KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden (die Suche war eingeschränkt).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.

Unsere Empfehlung

• Alle Firefox- und Thunderbird-Installationen, einschliesslich ESR, auf die behobenen oder neueren Versionen aktualisieren.
• Linux-Distributionspakete anhand der eigenen Sicherheitshinweise prüfen.
• Sicherstellen, dass automatische Updates aktiviert sind und verwaltete Geräte tatsächlich aktualisiert wurden.
• Auf neue Berichte zu Ausnutzung achten und den NVD-Score erneut prüfen, der zum Zeitpunkt der Recherche noch ausstand.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
• Mozilla Security Advisory MFSA 2026-109 (Thunderbird) www.mozilla.org
• Mozilla Security Advisory MFSA 2026-110 www.mozilla.org
• Mozilla Bugzilla bug 2073269 (access restricted) bugzilla.mozilla.org
• Ubuntu CVE-2026-109716 ubuntu.com
• Red Hat RHSA-2026:89757 via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:53.