Mozilla Firefox: Berechtigungsausweitung in der DOM-Komponente Navigation
Zusammenfassung
Mozilla Firefox, Firefox ESR und Thunderbird enthalten eine Schwachstelle zur Berechtigungsausweitung in der DOM-Komponente Navigation. Gemäss CVSS-Vektor kann ein Angreifer aus der Ferne mit niedriger Komplexität und ohne Berechtigungen angreifen, der Benutzer muss jedoch interagieren, typischerweise durch den Besuch einer manipulierten oder kompromittierten Webseite. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen, und CISA SSVC bewertet die technische Auswirkung als total.
Betroffen
- Mozilla Firefox und Firefox ESR vor 158 bzw. 153.5 (gemäss den nicht betroffenen Bereichen des CNA)
- Mozilla Thunderbird vor 158 bzw. 153.5 (gemäss CNA-Eintrag; die Behebung in Thunderbird ist nicht durch eine Primärquelle bestätigt)
- Debian firefox-esr: behoben in 153.5.0esr-1~deb12u1 (bookworm)
- Ubuntu thunderbird auf 22.04 LTS (jammy): als verwundbar markiert
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158 und Thunderbird 153.5 (gemäss CVE-Beschreibung; nicht unabhängig verifiziert)
- Debian firefox-esr 153.5.0esr-1~deb12u1 (bookworm)
Umgehung
Unbekannt. In den verfügbaren Quellen ist kein Workaround dokumentiert; die Behebung erfolgt durch das Update.
Ausnutzung
- Nicht als aktiv ausgenutzt gelistet (nicht im CISA-KEV-Katalog)
- EPSS: 0.00323
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies schliesst jedoch nicht aus, dass einer existiert
Unsere Empfehlung
- Alle Firefox-, Firefox-ESR- und Thunderbird-Installationen umgehend auf die behobenen Versionen aktualisieren, mit Priorität für Endgeräte, die nicht vertrauenswürdige Inhalte aufrufen
- Prüfen, welcher Release-Kanal (Firefox oder ESR) verwendet wird, und die installierte Version kontrollieren
- Die Thunderbird-Version anhand der Mozilla-Advisories MFSA 2026-109 und 2026-110 überprüfen
- Auf öffentlich verfügbaren Exploit-Code oder eine Aufnahme in den KEV-Katalog achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Bugzilla bug 2069258 bugzilla.mozilla.org
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Ubuntu security notice CVE-2026-109756 ubuntu.com
- Debian OSV entry CVE-2026-109756 osv.dev
- Vulmon CVE-2026-109756 vulmon.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:11.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.