Ladybird: Use-after-free in FinalizationRegistry über rekursives unregister()

Zusammenfassung

Die JavaScript-Engine LibJS des Browsers Ladybird enthält einen Use-after-free in FinalizationRegistry::cleanup(). Eine bösartige Webseite kann diesen auslösen, wenn ein Cleanup-Callback unregister() für einen Eintrag aufruft, den die laufende Cleanup-Schleife noch referenziert. Die Folge sind ein Absturz des Renderer-Prozesses oder eine Beschädigung des Heap-Speichers, die laut Advisory eine mögliche Grundlage für weitere Angriffe ist. Der CVSS-Wert beträgt 8.8 (Hoch), und für den Angriff muss ein Benutzer eine bösartige Webseite mit einer betroffenen Version besuchen.

Betroffen

• Ladybird-Versionen vor Commit 209579c96473c75bd5eba9701fcadb841a045964

Behoben in

• Behoben durch Commit 209579c96473c75bd5eba9701fcadb841a045964
• Behobene Release-Version: Unbekannt.

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
• Betroffene Versionen meiden und mit ihnen keine nicht vertrauenswürdigen Webseiten besuchen, bis eine behobene Version eingesetzt wird.

Ausnutzung

• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden, und die CVE ist nicht in CISA KEV gelistet.
• In den geprüften Quellen wurde kein öffentlicher Exploit gefunden. Die technische Beschreibung im Advisory ist öffentlich.

Unsere Empfehlung

• Endpunkte auf Ladybird-Binärdateien prüfen. Diese entfernen oder bis zur Bestätigung einer behobenen Version auf isolierte Testgeräte beschränken.
• Mit betroffenen Versionen keine nicht vertrauenswürdigen Webseiten besuchen.
• Das Advisory auf die behobene Release-Version überwachen und sofort aktualisieren, sobald eine verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 209579c github.com
• GitHub Security Advisory GHSA-6cmv-xmff-qjph github.com
• VulDB entry vuldb.com
• Positive Technologies PT-2026-134169 vulners.com
• OffSeq Radar threat entry radar.offseq.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:40.