Mozilla Firefox und Thunderbird: Umgehung von Schutzmechanismen in DOM Core & HTML
Zusammenfassung
Mozilla Firefox und Thunderbird enthalten eine Umgehung von Schutzmechanismen in der Komponente DOM: Core & HTML. Gemäss CVE-Eintrag ist die Schwachstelle mit CVSS 9.8 als kritisch eingestuft und über einen Netzwerkangriffsvektor ohne Berechtigungen und ohne Benutzerinteraktion erreichbar. CISA SSVC stuft sie als automatisierbar mit totaler technischer Auswirkung ein, eine Ausnutzung ist nicht bekannt. Der Advisory-Text von Mozilla konnte nur teilweise verifiziert werden und Ubuntu stuft die Schwachstelle als Mittel ein, weshalb der Schweregrad anhand von NVD und Mozilla geprüft werden sollte.
Betroffen
- Mozilla Firefox vor 158 (abgeleitet aus der Angabe zur Behebung; genauer Bereich nicht angegeben)
- Mozilla Thunderbird vor 158
- Ubuntu 22.04 LTS thunderbird: verwundbar
Behoben in
- Firefox 158 (MFSA 2026-106)
- Thunderbird 158 (MFSA 2026-109; CVE im abgerufenen Text nicht sichtbar)
- Unbekannt, ob Thunderbird 158.0.1 oder ESR-Versionen diese Behebung enthalten
Umgehung
Unbekannt. Es ist keine Massnahme dokumentiert; das Aktualisieren ist die praktische Gegenmassnahme.
Ausnutzung
- Nicht als ausgenutzt bekannt. CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
- In den Quellen wurde kein öffentlicher Proof of Concept gefunden; als unbekannt behandelt
Unsere Empfehlung
- Firefox und Thunderbird auf allen Endgeräten auf Version 158 oder neuer aktualisieren
- Ubuntu-22.04-Systeme mit Thunderbird aktualisieren, die als verwundbar gelistet sind
- Installierte Versionen zentral prüfen und die Advisories des Herstellers zu ESR- und Point-Releases verfolgen
- Diesen Patch wegen des Angriffsvektors mit hoher Auswirkung priorisieren, auch wenn keine Ausnutzung bekannt ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Bugzilla bug 2072775 bugzilla.mozilla.org
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Mozilla Thunderbird known vulnerabilities www.mozilla.org
- Ubuntu security tracker CVE-2026-109780 ubuntu.com
- HKCERT security bulletin on Mozilla products www.hkcert.org
- HOL Guard CVE-2026-109780 hol.org
- Strix CVE-2026-109780 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.