Mozilla Firefox: Rechteausweitung in der Panning-and-Zooming-Komponente

Zusammenfassung

Eine Schwachstelle zur Rechteausweitung in der Komponente Panning and Zooming von Mozilla Firefox, Firefox ESR und Thunderbird erlaubt einem Angreifer, innerhalb der Anwendung höhere Rechte zu erlangen. Der CVE-Eintrag bewertet sie mit CVSS 8.8 (netzwerkbasiert erreichbar, geringe Komplexität, geringe Rechte, keine Benutzerinteraktion) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Mozilla hat sie in Firefox 158, Firefox ESR 153.5, Thunderbird 158 und Thunderbird 153.5 behoben.

Betroffen

• Firefox-Versionen vor 158 sowie der Firefox-ESR-Zweig 153.x vor 153.5 (abgeleitet aus den als nicht betroffen genannten Bereichen im CVE-Eintrag; Mozilla nennt keinen expliziten betroffenen Bereich)
• Thunderbird-Versionen vor 158 sowie der Zweig 153.x vor 153.5
• Status älterer ESR-Zweige (zum Beispiel ESR 115) und älterer Thunderbird-Zweige: Unbekannt.

Behoben in

• Firefox 158 (MFSA 2026-106)
• Firefox ESR 153.5 (MFSA 2026-108), zum Beispiel Debian firefox-esr 153.5.0esr-1~deb12u1 und AlmaLinux firefox 153.5.0-1.el9_8
• Thunderbird 158 (MFSA 2026-109)
• Thunderbird 153.5 (MFSA 2026-110)
• Genaue Versionsnummern für Firefox 158 und Thunderbird: Unbekannt über die oben genannten Produktnamen hinaus; bitte die Mozilla-Advisories prüfen.

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme für ungepatchte Installationen gefunden.
• Firefox, Firefox ESR und Thunderbird auf die korrigierten Versionen aktualisieren und automatische Updates aktiviert lassen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. In den geprüften Quellen nicht als bekannt ausgenutzt gelistet; bitte im CISA-KEV-Katalog verifizieren.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Firefox, Firefox ESR und Thunderbird auf allen Arbeitsplätzen auf die oben genannten korrigierten Versionen aktualisieren.
• Installierte Versionen zentral prüfen, insbesondere auf Linux-Systemen mit Distributionspaketen.
• Sicherstellen, dass automatische Updates aktiviert sind, und auf weitere Mozilla-Sicherheitsmitteilungen achten, da dieselbe Version auch andere schwerwiegende Probleme behebt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Bugzilla 2059195 bugzilla.mozilla.org
• Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
• Mozilla MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
• Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
• Mozilla MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
• OSV Debian firefox-esr advisory osv.dev
• Ubuntu CVE tracker ubuntu.com
• AlmaLinux updates issue 4070 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:12.