Mozilla Firefox und Thunderbird: Rechteausweitung in WebExtensions
Zusammenfassung
Eine Schwachstelle in der Komponente WebExtensions von Mozilla Firefox und Thunderbird ermöglicht eine Rechteausweitung. Ein Angreifer, der bereits Fuss gefasst hat, etwa mit einem Konto mit geringen Rechten oder der Möglichkeit, eine Erweiterung zu installieren, könnte höhere Rechte erlangen. Der CVSS-Vektor bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch. Mozilla hat das Problem in Firefox 158 und Thunderbird 158 behoben.
Betroffen
- Firefox: Versionen vor 158 (gemäss CVE-Eintrag; genauer Bereich nicht verifiziert)
- Thunderbird: Versionen vor 158 (gemäss CVE-Eintrag; genauer Bereich nicht verifiziert)
- ESR-Versionen: Unbekannt.
Behoben in
- Firefox 158 (gemäss CVE-Eintrag und MFSA 2026-106)
- Thunderbird 158 (gemäss CVE-Eintrag; in MFSA 2026-109 bestätigen)
- Spätere Point-Releases wie 158.0.1 sind neuere Builds desselben Zweigs; ob sie Korrekturen für dieses CVE enthalten, ist nicht verifiziert.
Umgehung
Unbekannt. Es wurde kein Workaround veröffentlicht; der Hersteller empfiehlt das Update.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- In den geprüften Quellen wurde kein Hinweis auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Firefox und Thunderbird auf allen Endgeräten auf Version 158 oder neuer aktualisieren; Systeme mit Browser und Mailclient priorisieren.
- Sicherstellen, dass automatische Updates im gesamten Bestand aktiviert sind.
- Die Statusangaben der Distributionen, etwa Ubuntu, separat prüfen.
- Auf ungewöhnliche Installationen von Browser-Erweiterungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla MFSA 2026-106 www.mozilla.org
- Mozilla MFSA 2026-109 www.mozilla.org
- Mozilla Bugzilla 2049069 bugzilla.mozilla.org
- Ubuntu CVE page ubuntu.com
- HKCERT Mozilla bulletin www.hkcert.org
- HOL CVE page hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.