Mozilla Firefox/Thunderbird: Frame Poisoning in der Layout-Komponente
Zusammenfassung
Eine Frame-Poisoning-Schwachstelle in der Layout-Komponente, die für die Seitendarstellung zuständig ist, betrifft Mozilla Firefox und Thunderbird. Gemäss dem CVSS-Vektor in der Eingabe könnte ein Angreifer eine hohe Auswirkung auf Vertraulichkeit und Integrität erzielen, wobei eine Benutzerinteraktion nötig ist, beispielsweise das Öffnen einer präparierten Webseite. Mozilla stuft den Fehler als moderat ein, die CISA-SSVC-Bewertung zeigt keine Ausnutzung, und korrigierte Versionen sind verfügbar.
Betroffen
- Mozilla Firefox vor 158 sowie der ESR-153-Zweig vor 153.5 (genauer betroffener Bereich unverifiziert; die Bereichsangaben im CNA-Eintrag sind unklar)
- Mozilla Thunderbird vor 158 und vor 153.5
- Firefox ESR 115: Unbekannt, nicht bestätigt
Behoben in
- Firefox 158 (MFSA 2026-106)
- Firefox ESR 153.5 (MFSA 2026-108, Produktzuordnung unverifiziert)
- Thunderbird 158 (MFSA 2026-109)
- Thunderbird 153.5 (MFSA 2026-110)
Umgehung
Unbekannt. Es wurde keine Workaround-Massnahme identifiziert; die Behebung erfolgt über ein Produkt-Update.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt; die CISA-SSVC-Bewertung führt Exploitation als none und Automatable als no auf
- Kein öffentlicher Proof of Concept gefunden
- Der Melder ist als Mozilla angegeben, was auf eine interne Entdeckung hindeutet
Unsere Empfehlung
- Firefox auf 158 oder neuer, Firefox ESR auf 153.5 oder neuer und Thunderbird auf 158 oder 153.5 aktualisieren, je nach verwendetem Zweig
- Firefox-ESR-115-Installationen bei Mozilla und im Tracker der Linux-Distribution prüfen, da Backports abweichende Versionsnummern verwenden können
- Priorisierung nach der Herstellerbewertung (moderat) und nach dem Umfang, in dem Browser und Mail-Clients nicht vertrauenswürdige Inhalte verarbeiten; der CVSS-Wert 8.1 in der Eingabe konnte nicht verifiziert werden
- CVSS-Wert und CWE (CWE-451 in der Eingabe, abweichende Werte in anderen Quellen) gegen NVD verifizieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla Bugzilla bug 2029784 bugzilla.mozilla.org
- Ubuntu CVE tracker entry ubuntu.com
- VulDB entry 417601 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:50.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.