Firefox und Thunderbird: Umgehung von Schutzmassnahmen in der DOM-Security-Komponente
Zusammenfassung
Mozilla hat eine Umgehung von Schutzmassnahmen in der DOM-Security-Komponente von Firefox, Firefox ESR und Thunderbird behoben. Der Hersteller nennt keine technischen Details, daher ist der genaue Angriffsmechanismus nicht öffentlich bekannt. Der angegebene CVSS-Vektor geht von einem Remote-Angreifer aus, der einen Benutzer dazu bringen muss, eine manipulierte Seite zu besuchen oder manipulierte Inhalte zu öffnen, mit hohen Auswirkungen auf Vertraulichkeit und Integrität.
Betroffen
- Mozilla Firefox Versionen vor 158 und Firefox ESR Versionen vor 153.5
- Mozilla Thunderbird Versionen vor 158 und Thunderbird 153.x vor 153.5
- Ältere Zweige wurden nicht als betroffen oder unbetroffen bestätigt. Unbekannt.
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
- Distributionspakete: Die genauen Paketversionen sind im Security-Tracker Ihrer Distribution zu prüfen.
Umgehung
Unbekannt. Es ist kein offizieller Workaround veröffentlicht. Die korrigierte Version einspielen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. KEV: Nein.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden. Der Bugzilla-Eintrag war bei der Recherche nicht lesbar.
Unsere Empfehlung
- Firefox auf 158 beziehungsweise Firefox ESR auf 153.5 aktualisieren sowie Thunderbird auf 158 beziehungsweise 153.5, oder die gepatchten Pakete der Distribution installieren.
- Sicherstellen, dass die automatische Aktualisierung auf verwalteten Endgeräten aktiviert ist, und die Versionen mit dem Inventarwerkzeug prüfen.
- Auf Ubuntu 22.04 LTS wird Thunderbird als verwundbar markiert. Den Patchstatus der Distribution prüfen.
- NVD erneut prüfen, da der Status derzeit Deferred lautet und sich der CVSS-Wert ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla Bugzilla bug 1926318 bugzilla.mozilla.org
- Ubuntu CVE tracker ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:52.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.