Mozilla Firefox und Thunderbird: Umgehung von Schutzmechanismen in der HTTP-Komponente
Zusammenfassung
Eine Umgehung von Schutzmechanismen in der Networking-HTTP-Komponente von Mozilla Firefox, Firefox ESR und Thunderbird erlaubt es, eine Sicherheitsschutzfunktion zu umgehen, was die CVSS-Bewertung mit hohen Auswirkungen auf Vertraulichkeit und Integrität widerspiegelt. Der CVSS-Vektor setzt einen Netzwerkangriff ohne Berechtigungen voraus, jedoch ist eine Benutzerinteraktion nötig, etwa durch das Öffnen manipulierter Webinhalte oder E-Mails. Mozilla hat keine technischen Details zur Ursache veröffentlicht.
Betroffen
- Mozilla Firefox und Firefox ESR, Versionen vor den korrigierten Releases (genauer betroffener Bereich unbekannt)
- Mozilla Thunderbird, Versionen vor den korrigierten Releases (genauer betroffener Bereich unbekannt)
- Vom Hersteller genannte korrigierte Releases: Firefox 158, Firefox ESR 153.5, Thunderbird 158, Thunderbird 153.5
Behoben in
- Firefox 158 (MFSA 2026-106)
- Firefox ESR 153.5 (MFSA 2026-108)
- Thunderbird 158 (MFSA 2026-109)
- Thunderbird 153.5 (MFSA 2026-110)
- Spätere Releases des gleichen Kanals werden empfohlen.
Umgehung
Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. Die Aktualisierung auf ein korrigiertes Release ist die Abhilfe.
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt markiert.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Die installierten Versionen von Firefox, Firefox ESR und Thunderbird auf allen Endgeräten prüfen.
- Auf Firefox 158 oder Firefox ESR 153.5 sowie Thunderbird 158 oder Thunderbird 153.5 aktualisieren oder auf den neuesten Build des jeweiligen Kanals.
- Verwaltete, fixierte und über Distributionspakete installierte Versionen prüfen, einschliesslich Thunderbird auf Ubuntu 22.04 LTS.
- Herstellerupdates beobachten, da der betroffene Versionsbereich noch nicht bestätigt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Bugzilla bug 2070633 bugzilla.mozilla.org
- Ubuntu security notice CVE-2026-109760 ubuntu.com
- Vulners VulnRichment CVE-2026-109760 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:47.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.