Firefox and Thunderbird: Rechteausweitung in WebExtensions
Zusammenfassung
Mozilla Firefox, Firefox ESR, Thunderbird und Thunderbird ESR enthalten eine Schwachstelle zur Rechteausweitung in der Komponente WebExtensions, die Browser- und Mail-Client-Erweiterungen verwaltet. Es wurde ein CVSS-Wert von 8.8 (hoch) vergeben; Mozillas eigene Auswirkungsbewertung ist anhand der verfügbaren Quellen nicht bestätigt. Ein Angreifer könnte, wenn ein Benutzer mit manipulierten Inhalten oder einer Erweiterung interagiert, erhöhte Rechte innerhalb der Anwendung erlangen. CISA SSVC bewertet die Ausnutzung als keine und die Automatisierbarkeit als nein; es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- Firefox- und Firefox-ESR-Versionen vor 158 bzw. 153.5
- Thunderbird- und Thunderbird-ESR-Versionen vor 158 bzw. 153.5
- Ältere ESR-Zweige (z. B. 115 oder 140): Unbekannt
- Ubuntu-Tracker: Thunderbird auf 22.04 (jammy) ist als verwundbar markiert; Firefox ist auf 22.04, 24.04 und 26.04 als nicht betroffen markiert
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
Umgehung
- In den Quellen wird keine Workaround-Massnahme genannt.
- Die Aktualisierung auf eine korrigierte Version ist die Behebung.
Ausnutzung
- Eine Ausnutzung ist nicht bekannt. CISA SSVC: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung total.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Firefox, Firefox ESR, Thunderbird und Thunderbird ESR auf die oben genannten korrigierten Versionen aktualisieren.
- Auf Linux-Systemen das Sicherheitsupdate der Distribution installieren, insbesondere Thunderbird auf Ubuntu 22.04.
- Eingesetzte Browser- und Mail-Client-Versionen prüfen, auch auf verwalteten Endgeräten.
- Installierte WebExtensions prüfen und nicht benötigte Erweiterungen entfernen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 (Thunderbird 153.5) www.mozilla.org
- Mozilla Bugzilla bug 2070547 bugzilla.mozilla.org
- Ubuntu CVE tracker CVE-2026-109778 ubuntu.com
- OSV Debian CVE-2026-109778 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:10.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.