Mozilla Firefox und Thunderbird: Sandbox-Ausbruch in Win32-Widget-Komponente
Zusammenfassung
Ein Fehler in der Komponente Widget: Win32 von Firefox und Thunderbird ermöglicht einen Sandbox-Ausbruch aufgrund fehlerhafter Grenzbedingungen. Die Schwachstelle betrifft Windows-Installationen. Ein Angreifer müsste sie typischerweise mit einem weiteren Fehler kombinieren, etwa einer Schwachstelle im Content-Prozess, die durch eine manipulierte Webseite oder E-Mail ausgelöst wird, und Benutzerinteraktion ist wahrscheinlich nötig. Mozilla hat den Fehler intern gefunden, und es sind keine Ausnutzungen bekannt.
Betroffen
- Mozilla Firefox (Desktop) Versionen vor 158 und Firefox ESR Versionen vor 153.5
- Mozilla Thunderbird Versionen vor 158 und Thunderbird 153.5 (genauer betroffener Bereich nicht bestätigt)
- Früheste betroffene Version: Unbekannt.
Behoben in
- Firefox 158 oder neuer (MFSA 2026-106)
- Firefox ESR 153.5 oder neuer
- Thunderbird 158 oder neuer (MFSA 2026-109)
- Thunderbird 153.5 oder neuer (MFSA 2026-110)
- Spätere Versionen wie Firefox 158.0.1 enthalten die Korrektur möglicherweise; die aktuelle Version verwenden.
Umgehung
- Unbekannt. Keine Workaround-Massnahme des Herstellers identifiziert; die gepatchte Version installieren.
Ausnutzung
- In den geprüften Quellen wurden keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total. CISA-KEV-Status nicht geprüft.
Unsere Empfehlung
- Firefox auf 158 bzw. ESR 153.5 und Thunderbird auf 158 bzw. 153.5 oder neuer auf allen Windows-Endgeräten im üblichen monatlichen Update-Zyklus aktualisieren.
- Thunderbird-Installationen auf Ubuntu 22.04 LTS anhand der Sicherheitsmitteilungen der Distribution prüfen.
- CVSS-Wert und Schweregrad im NVD- und CNA-Eintrag verifizieren, da die Quellen abweichen (Mozilla stuft den Fehler als moderat ein; die Gesamtmitteilung als hoch).
- Auf Hinweise auf Ausnutzung achten und bei deren Auftreten die Patch-Priorität erhöhen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla Bugzilla 2057113 bugzilla.mozilla.org
- Ubuntu CVE-2026-109740 ubuntu.com
- Mozilla Advisories index www.mozilla.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:02.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.