Mozilla Firefox und Thunderbird: Integer-Überlauf in der Graphics-Komponente
Zusammenfassung
Mozilla Firefox (einschliesslich ESR-Zweige) und Thunderbird enthalten einen Integer-Überlauf (CWE-190) in der Graphics-Komponente. Ein Angreifer kann einen Benutzer dazu bringen, eine manipulierte Webseite oder einen manipulierten E-Mail-Inhalt zu öffnen, was zu einem Absturz oder zur Ausführung von Code mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen kann (CVSS 8.8). Es sind keine Benutzerrechte nötig, aber eine Benutzerinteraktion ist erforderlich.
Betroffen
- Mozilla Firefox vor 158
- Mozilla Firefox ESR 115 vor 115.43
- Mozilla Firefox ESR 153 vor 153.5
- Mozilla Thunderbird vor 158
- Mozilla Thunderbird 153 vor 153.5
- Die genauen Versionsbereiche pro Zweig wurden nicht vollständig gegen den Fehlerbericht von Mozilla geprüft. Distributionspakete können abweichende Versionen verwenden.
Behoben in
- Firefox 158
- Firefox ESR 115.43
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
Umgehung
Unbekannt. Der Hersteller empfiehlt keine Workaround-Massnahme. Auf die korrigierten Versionen aktualisieren.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine bekannt.
- Öffentlicher Proof of Concept: keiner bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Ein Drittanbieter-Tracker führt die Schwachstelle nicht im CISA-KEV-Katalog. Dies wurde nicht direkt geprüft.
Unsere Empfehlung
- Firefox, Firefox ESR und Thunderbird auf allen Arbeitsstationen auf die korrigierten Versionen oder neuer aktualisieren, mit Priorität auf Systemen mit deaktivierten oder verzögerten automatischen Updates.
- Verwaltete Update-Kanäle wie die Softwareverteilung unter Windows und Linux-Paketquellen prüfen und die installierten Versionen verifizieren.
- Sicherheitsmitteilungen der Linux-Distributionen prüfen, da deren Paketversionen von den Mozilla-Releases abweichen.
- Auf weitere Mozilla-Updates achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-107 (Firefox ESR 115.43) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla Bugzilla bug 2074896 bugzilla.mozilla.org
- Ubuntu security notice CVE-2026-109730 ubuntu.com
- HKCERT security bulletin on Mozilla products www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:13.
Referenzen der NVD (6)
- https://bugzilla.mozilla.org/show_bug.cgi?id=2074896
- https://www.mozilla.org/security/advisories/mfsa2026-106/
- https://www.mozilla.org/security/advisories/mfsa2026-107/
- https://www.mozilla.org/security/advisories/mfsa2026-108/
- https://www.mozilla.org/security/advisories/mfsa2026-109/
- https://www.mozilla.org/security/advisories/mfsa2026-110/
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.