Mozilla Firefox: Umgehung einer Schutzmassnahme in der Komponente Enterprise Policies
Zusammenfassung
In der Komponente Enterprise Policies von Mozilla, dem Administrationsmechanismus zur Absicherung der Einstellungen von Firefox und Thunderbird, lässt sich eine Schutzmassnahme umgehen. Der CVE-Eintrag und die Advisory von Mozilla enthalten nur wenige technische Details, und die genau umgangene Massnahme wird in den geprüften Quellen nicht beschrieben. Mozilla stuft die Lücke als moderat ein, während der CVSS-Wert 8.1 im Eintrag noch nicht gegen NVD bestätigt ist und andere Quellen tiefere Werte nennen (VulDB 6.3). Für eine Ausnutzung ist eine Interaktion des Benutzers nötig, und ein Angreifer könnte Vertraulichkeit und Integrität beeinträchtigen.
Betroffen
- Firefox vor 158 und Firefox ESR vor 153.5 (SUSE-Daten über einen Drittanbieter-Tracker; nicht im Text von Mozilla bestätigt)
- Thunderbird vor 158 und Thunderbird vor 153.5 (genauer betroffener Bereich nicht bestätigt)
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
Umgehung
Keine Workaround-Massnahme dokumentiert. Das Aktualisieren ist die Abhilfe.
Ausnutzung
- Nicht bekannt, dass die Lücke ausgenutzt wird. CISA SSVC: Exploitation none, Automatable no.
- In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden (nur Drittanbieter-Tracker).
Unsere Empfehlung
- Firefox, Firefox ESR und Thunderbird über den verwalteten Update-Kanal auf die korrigierten Versionen aktualisieren.
- Die installierten Versionen im Inventar prüfen, da ESR- und Distributionspakete oft verzögert sind.
- Enterprise Policies als Sicherheitskontrolle überprüfen, da eine Umgehung diese Kontrolle unterläuft, und Bugzilla 2044525 auf Details überwachen.
- Die Herstellerbewertung (moderat) als Grundlage für die Priorisierung verwenden und den CVSS-Wert 8.1 nur mit dem Vorbehalt nutzen, dass er nicht bestätigt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-106 (en-US) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 www.mozilla.org
- Mozilla Bugzilla bug 2044525 bugzilla.mozilla.org
- VulDB entry 417592 vuldb.com
- Ubuntu CVE tracker ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:51.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.