Mozilla Firefox: Sandbox-Ausbruch durch nicht initialisierten Speicher in Web Serial

Zusammenfassung

Eine Schwachstelle in der Komponente Web Serial des DOM in Mozilla Firefox und Thunderbird erlaubt einen Sandbox-Ausbruch durch die Verwendung von nicht initialisiertem Speicher. Der CVSS-3.1-Wert von 9.6 (kritisch) stammt aus der CVE-Auflistung, die NVD-Analyse steht jedoch noch aus, und Mozillas eigene Auswirkungsbewertung für diese CVE konnte aus den Quellen nicht bestätigt werden. Ein entfernter Angreifer könnte dies ausnutzen, indem er einen Benutzer dazu bringt, eine bösartige Webseite zu besuchen; dafür ist eine Benutzerinteraktion, aber keine Authentifizierung nötig. Der Sandbox-Ausbruch wird typischerweise als zweite Stufe in Verbindung mit einer separaten Browser-Kompromittierung eingesetzt.

Betroffen

• Mozilla Firefox vor 158 (abgeleitet aus der korrigierten Version, keine genannte Bereichsangabe)
• Mozilla Firefox ESR vor 153.5 (abgeleitet)
• Mozilla Thunderbird vor 158 und vor 153.5 (abgeleitet)
• Unbekannt: ob Firefox ESR 115.x betroffen ist. Keine Quelle führt diese CVE für die 115er-Linie auf.

Behoben in

• Firefox 158 (MFSA 2026-106)
• Firefox ESR 153.5 (MFSA 2026-108)
• Thunderbird 158 und Thunderbird 153.5 (MFSA 2026-109 und 2026-110; Details nicht verifiziert)
• Distributionen wie Debian und openSUSE veröffentlichen eigene Paketversionen; prüfen Sie die Mitteilung Ihres Anbieters.

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert. Das Aktualisieren ist die Korrektur. Ob Web Serial über Enterprise Policies deaktiviert werden kann, wurde nicht verifiziert.

Ausnutzung

• Ausnutzung in freier Wildbahn: kein Nachweis gefunden. In den geprüften Quellen wird sie nicht als bekannt ausgenutzt geführt; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Öffentlicher Proof of Concept: in begrenzten Recherchen nicht gefunden.
• Als Melder ist Mozilla aufgeführt, die Schwachstelle wurde also vermutlich intern gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Firefox auf 158 oder Firefox ESR auf 153.5 sowie Thunderbird auf 158 oder 153.5 aktualisieren oder das aktuelle Distributionspaket installieren.
• Prüfen, ob automatische Updates auf allen Arbeitsstationen funktionieren, und die installierten Versionen kontrollieren.
• Browser mit älteren Versionen bis zur Aktualisierung nicht für sensible Arbeiten verwenden.
• Sicherheitsmitteilungen von Mozilla und Ihrer Distribution auf Änderungen der Bewertung und auf Berichte über Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
• Mozilla MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
• Mozilla MFSA 2026-109 www.mozilla.org
• Mozilla MFSA 2026-110 www.mozilla.org
• Mozilla Bugzilla 2061784 (access restricted) bugzilla.mozilla.org
• Ubuntu security notice CVE-2026-109745 ubuntu.com
• SUSE CVE data via Vulners vulners.com
• Vulners VulnRichment CVE-2026-109745 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:00.