Mozilla Firefox und Thunderbird: Speicherfehler in der Layout-Komponente
Zusammenfassung
Ein Speicherfehler (fehlerhafte Grenzbedingungen, CWE-119) in der Layout-Komponente von Firefox, Firefox ESR und Thunderbird kann die Vertraulichkeit und Integrität beeinträchtigen. Der CVSS-Vektor ist netzwerkbasiert ohne Berechtigungen erreichbar, erfordert jedoch eine Benutzerinteraktion, etwa den Besuch einer präparierten Webseite oder das Öffnen präparierter Inhalte. Der genaue Auslöser ist öffentlich nicht beschrieben.
Betroffen
- Mozilla Firefox vor 158 sowie Firefox ESR vor 115.43 und 153.5 (gemäss Mozilla-Advisory und Debian-Daten sind alle früheren Versionen betroffen)
- Mozilla Thunderbird vor 158 und vor 153.5
- Linux-Distributionspakete: Die Versionen hängen von der Distribution ab; Ubuntu listet Thunderbird auf 22.04 LTS als verwundbar und Firefox auf 22.04, 24.04 und 26.04 als nicht betroffen
Behoben in
- Firefox 158
- Firefox ESR 115.43
- Firefox ESR 153.5
- Thunderbird 158 und 153.5
- Debian firefox-esr 153.5.0esr-1~deb12u1 (Debian 12)
- Weitere Distributionen: Unbekannt, siehe Sicherheitsmitteilung des Herstellers
Umgehung
Keine bekannt. Das Update ist die Behebung.
Ausnutzung
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Firefox auf 158 bzw. Firefox ESR auf 115.43 oder 153.5 und Thunderbird auf 158 bzw. 153.5 aktualisieren oder die aktuelle Mozilla-Version einsetzen.
- Unter Linux die Paketversionen und Advisories der eigenen Distribution verwenden.
- Verwaltete Endgeräte auf alte ESR-115- oder 153-Installationen und Thunderbird-Versionen vor dem Fix prüfen und die neuen Versionen verifizieren.
- Als reguläres Patch-Thema mit erhöhter Priorität für exponierte Browser und Mailclients behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 www.mozilla.org
- Debian OSV record DEBIAN-CVE-2026-109753 osv.dev
- Ubuntu CVE tracker CVE-2026-109753 ubuntu.com
- AlmaLinux updates issue 4068 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:45.
Referenzen der NVD (6)
- https://bugzilla.mozilla.org/show_bug.cgi?id=2068441
- https://www.mozilla.org/security/advisories/mfsa2026-106/
- https://www.mozilla.org/security/advisories/mfsa2026-107/
- https://www.mozilla.org/security/advisories/mfsa2026-108/
- https://www.mozilla.org/security/advisories/mfsa2026-109/
- https://www.mozilla.org/security/advisories/mfsa2026-110/
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.