Mozilla Firefox and Thunderbird: Ungültiger Zeiger in der DOM-Benachrichtigungskomponente
Zusammenfassung
Ein Speicherfehler (ungültiger Zeiger, undefiniertes Verhalten) in der DOM-Benachrichtigungskomponente betrifft Mozilla Firefox und Thunderbird. Der Fehlerbericht von Mozilla beschreibt eine Null-Pointer-Dereferenzierung, die beim Einfrieren einer Seite mit Benachrichtigung (Back/Forward-Cache) zu einem Absturz des Browsers führt. Mozilla gibt nicht an, ob Codeausführung möglich ist, stuft das Advisory jedoch als hohe Auswirkung ein. Ausgelöst wird das Problem, wenn ein Benutzer eine bösartige oder präparierte Webseite besucht, die Benachrichtigungen mit Symbolen anzeigt; die Exponierung hängt also vom Surfverhalten ab.
Betroffen
- Mozilla Firefox und Thunderbird in Versionen vor 158 (vom Hersteller angegebene Korrektur in 158; der genaue verwundbare Bereich ist von Mozilla nicht bestätigt)
- Der Eintrag bei NVD/CNA nennt "unaffected 158 to <= *", was mehrdeutig und nicht verifiziert ist
- ESR-Zweige: Unbekannt.
Behoben in
- Firefox 158 (MFSA 2026-106)
- Thunderbird 158 (MFSA 2026-109)
- Firefox 158.0.1 und neuer: für diese spezifische Korrektur nicht verifiziert
- ESR-Korrekturversionen: Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung in den geprüften Quellen; der Status im CISA-KEV-Katalog wurde nicht verifiziert
- Kein öffentlicher Proof of Concept in den geprüften Aggregatoren gefunden; dies schliesst einen solchen aber nicht aus
- Der CVSS-Wert 9.8 stammt von einem Drittanbieter-Aggregator; der NVD-Eintrag ist zurückgestellt und wurde nicht verifiziert
Unsere Empfehlung
- Firefox und Thunderbird jetzt auf Version 158 oder neuer aktualisieren, über die automatische Aktualisierung oder die Pakete der Distribution
- Prüfen, ob die verwendeten ESR- oder Distributionspakete die Korrektur enthalten, da ESR-Versionen nicht bestätigt sind
- Alle Arbeitsplätze mit Firefox oder Thunderbird erfassen und die installierten Versionen überprüfen
- Mozilla-Advisories und den CISA-KEV-Katalog auf Änderungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird) www.mozilla.org
- Mozilla Bugzilla 2067657 bugzilla.mozilla.org
- Ubuntu CVE tracker CVE-2026-109774 ubuntu.com
- SUSE CVE entry via Vulners vulners.com
- Mozilla known vulnerabilities, Firefox www.mozilla.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.