Mozilla Firefox und Thunderbird: Umgehung von Schutzmassnahmen in Enterprise Policies
Zusammenfassung
Eine Umgehung von Schutzmassnahmen in der Komponente Enterprise Policies von Mozilla Firefox und Thunderbird erlaubt es, Einschränkungen dieser Anwendungen zu umgehen. Mozilla stuft den Fehler als moderat ein; der CVSS-Wert 8.1 aus den Angaben des Benutzers konnte nicht gegen die NVD bestätigt werden. Ein Angreifer müsste einen Benutzer dazu bringen, eine manipulierte Webseite oder E-Mail zu öffnen, und benötigt keine Berechtigungen. Es wurde weder öffentlicher Exploit noch Ausnutzung in freier Wildbahn gemeldet.
Betroffen
- Mozilla Firefox und Firefox ESR vor 158 bzw. vor 153.5 (genaue verwundbare Version aus Primärquellen unbekannt)
- Mozilla Thunderbird vor 158 bzw. vor 153.5 (genaue verwundbare Version aus Primärquellen unbekannt)
- Pakete von Linux-Distributionen können abweichen; Status beim jeweiligen Distributor prüfen
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
Umgehung
Unbekannt.
Ausnutzung
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden; der Status im CISA-KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Firefox, Firefox ESR und Thunderbird auf die korrigierten Versionen aktualisieren; zuerst verwaltete Arbeitsstationen mit restriktiven Enterprise Policies und Linux-Systeme mit Distributionspaketen behandeln.
- Installierte Versionen auf allen Arbeitsstationen prüfen und den Update-Status bestätigen.
- CVSS-Wert und CWE vor einer Meldung gegen die NVD verifizieren, da die Quellen voneinander abweichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 (Firefox ESR 153.5) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 www.mozilla.org
- Mozilla Bugzilla bug 2074406 bugzilla.mozilla.org
- Ubuntu security notice CVE-2026-109766 ubuntu.com
- VulDB entry 417614 vuldb.com
- SUSE CVE entry CVE-2026-109766 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:45.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.