Mozilla Firefox and Thunderbird: Sandbox escape in DOM Content Processes
Zusammenfassung
Eine Sandbox-Flucht in der Komponente DOM: Content Processes von Mozilla Firefox und Thunderbird erlaubt einem Angreifer, aus der Sandbox des Browsers oder Mail-Clients auszubrechen. Der CVSS-Wert 9.6 (kritisch) wird von Ubuntu angegeben, die Bewertungen widersprechen sich jedoch und die NVD-Analyse ist noch ausstehend. Es ist eine Benutzerinteraktion nötig, etwa durch das Laden von Webinhalten, die der Angreifer kontrolliert, und eine Sandbox-Flucht ist meist nur eine Stufe einer längeren Angriffskette.
Betroffen
- Mozilla Firefox vor 158
- Mozilla Thunderbird vor 158
- Ubuntu 22.04 LTS (jammy): Thunderbird als Vulnerable markiert
- Status von Firefox ESR und Thunderbird ESR/153.x: Unbekannt
Behoben in
- Mozilla Firefox 158 (MFSA 2026-106)
- Mozilla Thunderbird 158 (MFSA 2026-109; die CVE ist nur in der Beschreibung bestätigt)
- Spätere Point-Releases Firefox 158.0.1 (MFSA 2026-111) und Thunderbird 158.0.1 (MFSA 2026-114); ob sie weitere Korrekturen für diese CVE enthalten, ist unbekannt
Umgehung
Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme gefunden; das Aktualisieren ist die Korrektur.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Firefox und Thunderbird auf allen Endgeräten auf Version 158 oder neuer aktualisieren, idealerweise auf das neueste Point-Release.
- ESR- und Thunderbird-Installationen auf älteren Linux-Distributionen prüfen, einschliesslich Ubuntu 22.04 LTS, und die installierten Versionen mit den Mozilla-Advisories abgleichen.
- Nach nicht verwalteten Installationen suchen und sicherstellen, dass sie in den Update-Prozess aufgenommen werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Ubuntu CVE record CVE-2026-109755 ubuntu.com
- Tenable Nessus plugin 365350 (Thunderbird) www.tenable.com
- Red Hat errata RHSA-2026:15892 access.redhat.com
- Mozilla known vulnerabilities: Thunderbird www.mozilla.org
- Mozilla Bugzilla bug 2068448 (access restricted) bugzilla.mozilla.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.