Mozilla Firefox/Thunderbird: Incorrect boundary conditions in SVG component
Zusammenfassung
Mozilla Firefox und Thunderbird enthalten eine Speicherfehlbehandlung (Incorrect boundary conditions) in der SVG-Komponente. Mozilla stuft die Auswirkung als hoch ein und nennt über den Advisory-Text hinaus keine Details. Ein Angreifer könnte die Schwachstelle möglicherweise ausnutzen, indem er einen Benutzer dazu bringt, manipulierte SVG-Inhalte zu öffnen oder eine bösartige Seite zu besuchen; dies ist eine Schlussfolgerung, da Mozilla den Angriffsweg nicht beschreibt. Der CVSS-Wert ist zwischen den Quellen umstritten.
Betroffen
- Mozilla Firefox vor 158.0.1
- Mozilla Thunderbird vor 158.0.1
- Firefox ESR: Unbekannt (nicht verifiziert; MFSA 2026-112 und 2026-113 prüfen)
Behoben in
- Mozilla Firefox 158.0.1
- Mozilla Thunderbird 158.0.1
- Es existieren spätere Versionen; die neueste Version verwenden
Umgehung
Unbekannt. Es ist kein Workaround dokumentiert; das Herstellerupdate einspielen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gefunden
- Nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Firefox und Thunderbird auf allen Endgeräten auf 158.0.1 oder neuer aktualisieren, einschliesslich ESR-Installationen
- Versionen über das Software-Inventar oder das RMM-Tool überprüfen
- NVD und die Mozilla-Advisories auf Änderungen bei Bewertung oder Fixversionen prüfen
- Aufgrund der Einstufung durch Mozilla und der weiten Verbreitung dieser Produkte als hohe Priorität behandeln
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla advisory Firefox (MFSA 2026-111) www.mozilla.org
- Mozilla advisory Thunderbird (MFSA 2026-114) www.mozilla.org
- Mozilla Bugzilla bug 2079938 bugzilla.mozilla.org
- SUSE CVE record www.suse.com
- VulDB entry vuldb.com
- OpenCVE record app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.