Mozilla Firefox / Firefox ESR / Thunderbird Seite 2

Aufgrund fehlerhafter Randbedingungen in der Telemetry-Komponente ist ein Ausbruch aus der Sandbox (Sandbox-Escape) möglich. Die Schwachstelle wurde in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf eine der genannten korrigierten Versionen aktualisieren.

In Mozilla Firefox und Thunderbird besteht ein Sandbox-Ausbruch aufgrund fehlerhafter Grenzwertbedingungen in der Komponente DOM: Core & HTML. Die Schwachstelle wurde in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Firefox 148, Firefox ESR 115.33 bzw. 140.8, Thunderbird 148 bzw. 140.8 oder neuer aktualisieren.

In Sandbox-iframes eingebettete Webseiten konnten Downloads auf das Gerät auslösen und damit die erwarteten Sandbox-Einschränkungen der übergeordneten Seite umgehen. Die Schwachstelle wurde in Firefox für iOS 141 behoben. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Firefox für iOS 141 aktualisieren.

Wenn String.toUpperCase() eine Zeichenkette verlängerte, konnte nicht initialisierter Speicher in die Ergebniszeichenkette gelangen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Firefox 136 bzw. Thunderbird 136.

In der Komponente JavaScript: GC besteht ein Use-after-free. Behoben wurde die Schwachstelle laut Quelle in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

Firefox für Android erlaubte einem Sandbox-iframe ohne das Attribut allow-downloads, Downloads zu starten. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle wurde in Firefox 141 behoben. Empfohlene Massnahme: auf Firefox 141 oder neuer aktualisieren.

In der Komponente Audio/Video: Playback von Mozilla Firefox und Thunderbird bestehen fehlerhafte Randbedingungen, die zu Speicherfehlern führen können. Behoben wurde die Schwachstelle in Firefox 150, Thunderbird 150, Firefox ESR 140.10.1, Thunderbird 140.10.1 und Firefox ESR 115.35.2. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine der genannten korrigierten Versionen aktualisieren.

In der JavaScript-Engine von Mozilla Firefox und Thunderbird besteht eine Use-after-free-Schwachstelle. Behoben wurde sie in Firefox 148, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Update auf die genannten Fassungen oder neuer.

In der JIT-Komponente der JavaScript-Engine von Firefox und Thunderbird führt eine JIT-Fehlkompilierung zu einem Use-after-free. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 bzw. Thunderbird 140.8 aktualisieren.

In der JavaScript-Engine-Komponente von Mozilla-Produkten besteht eine Use-after-free-Schwachstelle. Sie wurde in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierung auf eine der genannten korrigierten Versionen.

Laut NVD besteht in der Komponente JavaScript Engine: JIT von Mozilla Firefox und Thunderbird ein Use-after-free. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf Firefox 148, Firefox ESR 140.8, Thunderbird 148 oder Thunderbird 140.8 aktualisieren.

In der Komponente Audio/Video: Playback von Mozilla-Produkten besteht eine Use-after-free-Schwachstelle. Laut Quelle wurde sie in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf die genannten korrigierten Versionen aktualisieren.

In der Komponente DOM: Bindings (WebIDL) von Firefox und Thunderbird besteht eine Use-after-free-Schwachstelle. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 oder Thunderbird 140.8 aktualisieren.

In Firefox 141 und Thunderbird 141 wurden mehrere Speichersicherheitsfehler festgestellt. Einige davon zeigten Anzeichen von Speicherkorruption; Mozilla nimmt an, dass sich einige mit ausreichendem Aufwand zur Ausführung von beliebigem Code hätten ausnutzen lassen. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle wurde in Firefox 142 und Thunderbird 142 behoben. Empfohlene Massnahme: auf Firefox 142 bzw. Thunderbird 142 oder neuer aktualisieren.

In Firefox und Thunderbird wurde der Teil username:password nicht korrekt aus URLs in CSP-Reports entfernt, wodurch Zugangsdaten der HTTP-Basic-Authentifizierung offengelegt werden konnten. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle wurde in Firefox 141, Firefox ESR 128.13, Firefox ESR 140.1, Thunderbird 141, Thunderbird 128.13 und Thunderbird 140.1 behoben. Empfohlene Massnahme: auf eine dieser oder eine neuere Version aktualisieren.

In der Audio-/Video-Komponente GMP von Mozilla Firefox und Thunderbird besteht ein Use-after-free-Fehler. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Firefox 146 bzw. Thunderbird 146 oder neuer.

In der HTTP-Netzwerkkomponente von Mozilla Firefox und Thunderbird lässt sich eine Schutzmassnahme umgehen (Mitigation Bypass). Die Schwachstelle wurde in Firefox 149, Firefox ESR 140.9, Thunderbird 149 und Thunderbird 140.9 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf Firefox 149, Firefox ESR 140.9, Thunderbird 149 oder Thunderbird 140.9 oder neuer aktualisieren.

Eine Prozessisolierungs-Schwachstelle in Thunderbird beruhte auf einer fehlerhaften Behandlung von javascript:-URIs, wodurch Inhalte im Prozess des obersten Dokuments statt im vorgesehenen Frame ausgeführt werden konnten. Dies konnte einen Ausbruch aus der Sandbox ermöglichen. Behoben in Firefox 138, Firefox ESR 128.10, Firefox ESR 115.23, Thunderbird 138 und Thunderbird 128.10. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf eine der genannten Fassungen aktualisieren.

In der WebRTC-Komponente von Firefox und Thunderbird besteht laut NVD eine sicherheitsrelevante Schwachstelle. Sie wurde in Firefox ESR 140.10.2 und Thunderbird 140.10.2 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox ESR 140.10.2 bzw. Thunderbird 140.10.2 oder neuer aktualisieren.

In Firefox 140 und Thunderbird 140 vorhandene Speichersicherheitsfehler zeigten teils Anzeichen von Speicherbeschädigung; es ist anzunehmen, dass sich einige davon mit genügend Aufwand zur Ausführung von beliebigem Code ausnutzen liessen. Behoben wurden die Fehler in Firefox 141 und Thunderbird 141. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Firefox 141 bzw. Thunderbird 141.

In der Komponente PDF Viewer von Firefox lässt sich eine Schutzmassnahme umgehen (mitigation bypass). Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 beziehungsweise Firefox ESR 140.13.

In der Komponente DOM: Networking von Firefox besteht eine Umgehung von Schutzmassnahmen (Mitigation Bypass). Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153 bzw. Firefox ESR 140.13.

In der Komponente Audio/Video: cubeb von Firefox bestehen fehlerhafte Grenzwertbedingungen (incorrect boundary conditions). Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153, Firefox ESR 115.38 bzw. Firefox ESR 140.13.

In der Komponente DOM: Bindings (WebIDL) von Firefox besteht eine Schwachstelle durch einen ungültigen Zeiger. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153, Firefox ESR 115.38 oder Firefox ESR 140.13.

In der JIT-Komponente der JavaScript-Engine von Firefox besteht eine fehlerhafte JIT-Kompilierung (JIT miscompilation). Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153, Firefox ESR 115.38 bzw. Firefox ESR 140.13.

In der Grafikkomponente von Mozilla Firefox bestehen fehlerhafte Grenzwertbedingungen. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153, Firefox ESR 115.38 oder Firefox ESR 140.13.

In Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 und Thunderbird 148 bestehen Speichersicherheitsfehler. Einige davon zeigten Anzeichen von Speicherkorruption; mit ausreichendem Aufwand hätten sich einige davon mutmasslich zur Ausführung beliebigen Codes ausnutzen lassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox 149, Firefox ESR 140.9, Thunderbird 149 bzw. Thunderbird 140.9 aktualisieren.

In Mozilla Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 und Thunderbird 148 wurden Speichersicherheitsfehler festgestellt. Einige zeigten Anzeichen von Speicherbeschädigung und könnten sich mit genügend Aufwand zur Ausführung beliebigen Codes ausnutzen lassen. Behoben wurde dies in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149 und Thunderbird 140.9. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf die genannten korrigierten Fassungen oder neuer.

In der Libraries-Komponente von NSS bestehen fehlerhafte Grenzwertbedingungen und ein Integer Overflow. Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153.

In der Komponente der Disability-Access-APIs von Mozilla Firefox ermöglicht ein Use-after-free einen Ausbruch aus der Sandbox. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. Empfohlene Massnahme: Aktualisierung auf eine der genannten Fassungen.

In der Komponente Disability Access APIs von Firefox ermöglicht ein Use-after-free einen Ausbruch aus der Sandbox. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 beziehungsweise Firefox ESR 115.38 oder 140.13.

In der Komponente DOM: Navigation von Firefox ermöglicht ein Use-after-free einen Ausbruch aus der Sandbox. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 beziehungsweise Firefox ESR 115.38 oder 140.13.

In der Komponente DOM: Networking von Firefox und Thunderbird besteht laut NVD eine Umgehung der Same-Origin-Policy. Die Schwachstelle wurde in Firefox 151 und Thunderbird 151 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox 151 bzw. Thunderbird 151 oder neuer aktualisieren.

In der JavaScript-/WebAssembly-Komponente von Mozilla Firefox besteht eine Schwachstelle durch eine JIT-Fehlkompilierung. Laut Quelle wurde sie in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox 153 bzw. Firefox ESR 140.13 aktualisieren.

In der Komponente JavaScript: WebAssembly von Firefox bestehen fehlerhafte Grenzwertbedingungen (incorrect boundary conditions). Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153 bzw. Firefox ESR 140.13.

In der Komponente JavaScript: WebAssembly von Firefox besteht ein Integer-Überlauf. Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 bzw. Firefox ESR 140.13.

Bösartige Seiten konnten Firefox für iOS dazu bringen, FIDO:-Links an das Betriebssystem weiterzugeben und so den Hybrid-Passkey-Transport auszulösen. Ein Angreifer in Bluetooth-Reichweite hätte dies nutzen können, um den Benutzer dazu zu verleiten, mit seinem Passkey den Computer des Angreifers beim Zielkonto anzumelden. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Firefox für iOS 142 bzw. Focus für iOS 142 aktualisieren, in denen die Schwachstelle behoben ist.

In der Remote-Settings-Client-Komponente von Mozilla Firefox und Thunderbird besteht eine Schwachstelle, die einen Sandbox-Escape ermöglicht. Das Problem wurde in Firefox 154 und Thunderbird 154 behoben. CVSS-Basiswert: 10.0 (Kritisch).

In der Komponente DOM: Networking von Firefox besteht eine Schwachstelle zum Ausbruch aus der Sandbox (Sandbox Escape). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153.

In Mozilla Firefox ermöglicht ein ungültiger Zeiger in der Komponente Disability Access APIs einen Ausbruch aus der Sandbox. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox 153 aktualisieren, in der die Schwachstelle behoben wurde.

In der Komponente Audio/Video: Web Codecs von Firefox und Thunderbird besteht eine Schwachstelle durch nicht initialisierten Speicher, die zu unerwartetem Verhalten oder zur Offenlegung von Speicherinhalten führen kann. Behoben wurde die Lücke laut Quelle in Firefox 150, Firefox ESR 140.10, Thunderbird 150 und Thunderbird 140.10. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf eine der genannten korrigierten Versionen.

In der Komponente Graphics: WebRender ermöglichen fehlerhafte Randbedingungen einen Ausbruch aus der Sandbox. Behoben wurde die Schwachstelle laut Quelle in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

Fehlerhafte Grenzwertbedingungen in der Komponente Graphics: ImageLib von Mozilla-Produkten führen zu einer Schwachstelle. Laut Quelle wurde sie in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

In der Grafikkomponente WebRender von Firefox und Thunderbird besteht eine Schwachstelle, die einen Ausbruch aus der Sandbox ermöglicht. Laut Quelle wurde die Lücke in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf die genannten Firefox- bzw. Thunderbird-Versionen.

Der QR-Scanner von Firefox für iOS könnte das Öffnen beliebiger Websites erlauben, wenn ein Benutzer dazu verleitet wird, einen bösartigen Link zu scannen, der das open-text-URL-Schema von Firefox ausnutzt. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Firefox für iOS 141 aktualisieren.

In der Komponente Security: Process Sandboxing besteht eine Schwachstelle, die den Ausbruch aus der Sandbox erlaubt. Laut Quelle ist sie in Firefox 152, Firefox ESR 140.12, Thunderbird 152 und Thunderbird 140.12 behoben. CVSS-Basiswert: 9.6 (Kritisch); die Ausnutzung erfordert eine Benutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 152 beziehungsweise ESR 140.12 oder Thunderbird 152 beziehungsweise 140.12.

Falsche Grenzwertbedingungen in der Networking-Komponente ermöglichen einen Ausbruch aus der Sandbox. Laut Quelle wurde die Schwachstelle in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37 sowie Thunderbird 152 und weiteren Thunderbird-Versionen behoben. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine der genannten korrigierten Versionen aktualisieren.

In der Komponente JavaScript Engine: JIT von Firefox besteht eine Fehlkompilierung (JIT miscompilation). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf Firefox 153.

In der Komponente JavaScript: WebAssembly besteht ein Use-after-free. Behoben wurde die Schwachstelle laut Quelle in Firefox 148, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

Firefox Focus kürzte URLs fälschlicherweise am Anfang statt rund um den Ursprung (Origin), wodurch die tatsächliche Herkunft einer Adresse verschleiert werden konnte. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Firefox 141 aktualisieren.