Mozilla Firefox / Firefox ESR / Thunderbird Seite 3

In Firefox und Thunderbird konnte ein Angreifer die connect-src-Direktive einer Content Security Policy umgehen, indem er Subdokumente manipuliert. Die dadurch aufgebauten Verbindungen wurden zudem im Netzwerk-Tab der Entwicklerwerkzeuge verborgen. CVSS-Basiswert: 9.1 (Kritisch). Die Schwachstelle wurde in Firefox 140 und Thunderbird 140 behoben. Empfohlene Massnahme: auf Firefox 140 beziehungsweise Thunderbird 140 oder neuer aktualisieren.

In der Storage-Komponente IndexedDB von Mozilla Firefox und Thunderbird besteht ein Sandbox-Escape. Die Schwachstelle wurde in Firefox 148, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8 behoben. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox 148, Firefox ESR 140.8, Thunderbird 148 bzw. Thunderbird 140.8 oder neuer aktualisieren.

Laut NVD ermöglicht die Komponente Messaging System von Mozilla Firefox und Thunderbird eine Privilegienausweitung. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 oder Thunderbird 140.8 aktualisieren.

Unter bestimmten Umständen konnte eine vom Benutzer aktivierte Einstellung, wonach Focus vor der Nutzung eine Authentifizierung verlangt, umgangen werden (verschieden von CVE-2025-0245). Die Schwachstelle wurde in Firefox 136 behoben. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Firefox 136 aktualisieren.

In der Komponente DOM: Workers besteht eine Schwachstelle, die einen Ausbruch aus der Sandbox ermöglicht. Behoben wurde sie laut Quelle in Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152 und Thunderbird 140.12. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Firefox 152, Firefox ESR 140.12, Firefox ESR 115.37, Thunderbird 152 beziehungsweise Thunderbird 140.12 aktualisieren.

In der Komponente Enterprise Policies von Firefox lässt sich eine Schutzmassnahme umgehen (mitigation bypass). Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 beziehungsweise Firefox ESR 140.13.

In Firefox ESR 115.37, Firefox ESR 140.12 und Firefox 152 wurden Speichersicherheitsfehler festgestellt. Einige davon zeigten Anzeichen von Speicherkorruption, sodass sich diese mit entsprechendem Aufwand mutmasslich ausnutzen liessen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Firefox auf eine vom Hersteller korrigierte Version aktualisieren.

In der Networking-Komponente von Firefox besteht eine Umgehung einer Schutzmassnahme (Mitigation Bypass). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Firefox 153.

In der Komponente DOM: Networking von Firefox besteht eine Umgehung einer Schutzmassnahme (Mitigation Bypass). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Firefox 153.

Eine Use-after-free-Schwachstelle in der DOM-Navigation-Komponente ermöglicht laut Quelle einen Sandbox-Escape. Betroffen ist laut Produktzuordnung Mozilla Firefox/Thunderbird. Empfohlene Massnahme: laut Herstellerangaben aktualisieren auf Firefox 155, Firefox ESR 115.40, Firefox ESR 140.15, Firefox ESR 153.2 oder Thunderbird 155. CVSS-Basiswert: 9.6 (Kritisch).

In der Security-Komponente des DOM von Firefox und Thunderbird ermöglicht ein Use-after-free-Fehler einen Sandbox-Escape. Behoben in Firefox 155, Firefox ESR 115.40, Firefox ESR 140.15, Firefox ESR 153.2 sowie Thunderbird 155. CVSS-Basiswert: 9.6 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf die genannten Versionen aktualisieren.

In Firefox ESR 115.34.0, Firefox ESR 140.9.0, Thunderbird ESR 140.9.0, Firefox 149.0.1 und Thunderbird 149.0.1 bestehen Speichersicherheitsfehler. Einige dieser Fehler zeigten laut Quelle Anzeichen von Speicherkorruption, sodass sich mit genügend Aufwand möglicherweise beliebiger Code ausführen liesse. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 149.0.2, Firefox ESR 115.34.1, Firefox ESR 140.9.1, Thunderbird 149.0.2 oder Thunderbird 140.9.1 aktualisieren.

Ab Firefox 142 konnte ein kompromittierter Kindprozess über WebGPU-bezogene IPC-Aufrufe ein Use-after-free im GPU- oder Browserprozess auslösen. Dies konnte nutzbar sein, um aus der Sandbox des Kindprozesses auszubrechen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Firefox 144.0.2 aktualisieren, in der die Schwachstelle behoben wurde.

Laut NVD enthalten Firefox 148 und Thunderbird 148 Speichersicherheitsfehler; einige zeigten Anzeichen von Speicherkorruption und könnten mit genügend Aufwand zur Ausführung von beliebigem Code ausgenutzt werden. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Firefox 149 oder Thunderbird 149 aktualisieren.

In Firefox ESR 115.37 und Firefox ESR 140.12 wurden Speichersicherheitsfehler festgestellt. Einige dieser Fehler zeigten Anzeichen von Speicherkorruption, und es wird angenommen, dass sich einige davon mit genügend Aufwand ausnutzen lassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: bereitgestellte Hersteller-Updates einspielen.

In Firefox ESR 140.9.0, Thunderbird ESR 140.9.0, Firefox 149.0.1 und Thunderbird 149.0.1 sind Speichersicherheitsfehler vorhanden. Einige davon zeigten Anzeichen von Speicherbeschädigung; es wird angenommen, dass sie sich mit ausreichendem Aufwand zur Ausführung von beliebigem Code ausnutzen lassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 149.0.2, Firefox ESR 140.9.1, Thunderbird 149.0.2 oder Thunderbird 140.9.1 aktualisieren.

In Firefox ESR 140.12 und Firefox 152 sind Speichersicherheitsfehler vorhanden. Einige davon zeigten Hinweise auf Speicherkorruption, sodass mit ausreichendem Aufwand eine Ausnutzung möglich erscheint. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf die vom Hersteller korrigierte Version aktualisieren.

In der Komponente Audio/Video: Playback von Firefox bestehen fehlerhafte Grenzwertbedingungen (incorrect boundary conditions). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153.

In der Komponente DOM: Core & HTML von Firefox und Thunderbird besteht ein Use-after-free. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 148 bzw. Thunderbird 148 aktualisieren.

In der Komponente Graphics: ImageLib von Firefox besteht ein Integer-Überlauf. Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153.

In der Graphics-Komponente WebGPU von Mozilla Firefox führen fehlerhafte Grenzwertbedingungen (incorrect boundary conditions) zu einer Schwachstelle. Die Lücke wurde laut Quelle in Firefox 153 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 153 oder neuer aktualisieren.

In der JavaScript-Garbage-Collection-Komponente von Mozilla Firefox und Thunderbird besteht eine Use-after-free-Schwachstelle. Sie wurde in Firefox 148 und Thunderbird 148 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 148 oder Thunderbird 148 oder neuer aktualisieren.

In der Komponente der Disability-Access-APIs von Firefox besteht ein Use-after-free. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Firefox 146.0.1 aktualisieren, in der die Schwachstelle behoben wurde.

In der Komponente DOM: Service Workers von Firefox besteht eine Umgehung von Schutzmassnahmen (Mitigation Bypass). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Firefox 153.

In der Komponente Profile Backup von Mozilla Firefox und Thunderbird besteht laut NVD eine Schwachstelle, die einen Ausbruch aus der Sandbox (Sandbox-Escape) erlaubt. Der CVSS-Vektor weist die Lücke als über das Netzwerk mit niedriger Komplexität, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Firefox 150.0.3, Firefox ESR 115.36, Firefox ESR 140.11 bzw. Thunderbird 140.11.

In Firefox ESR 140.7, Thunderbird ESR 140.7, Firefox 147 und Thunderbird 147 wurden Speichersicherheitsfehler festgestellt. Einige zeigten Hinweise auf Speicherkorruption; es wird angenommen, dass sich mit genügend Aufwand Teile davon zur Ausführung von beliebigem Code ausnutzen liessen. Behoben wurde dies laut Quelle in Firefox 148, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf die genannten korrigierten Versionen aktualisieren.

In Firefox ESR 115.32, Firefox ESR 140.7, Thunderbird ESR 140.7, Firefox 147 und Thunderbird 147 wurden mehrere Speichersicherheitsfehler gefunden. Einige davon zeigten Anzeichen von Speicherbeschädigung; laut Mozilla ist anzunehmen, dass sie sich mit ausreichendem Aufwand zur Ausführung von beliebigem Code ausnutzen lassen. Behoben wurde dies in Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 und Thunderbird 140.8. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine der fehlerbereinigten Versionen aktualisieren.

In Firefox 152 wurden Speichersicherheitsfehler festgestellt. Einige davon zeigten Anzeichen von Speicherkorruption; es wird angenommen, dass sich manche mit genügend Aufwand zur Ausführung beliebigen Codes ausnutzen liessen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf eine fehlerbereinigte Firefox-Version.

In der Komponente Messaging System von Mozilla Firefox und Thunderbird besteht laut NVD ein Sandbox-Escape. CVSS-Basiswert: 10 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 147 bzw. Thunderbird 147 aktualisieren.

Besuchte ein Nutzer eine Webseite mit ungültigem TLS-Zertifikat und erteilte eine Ausnahme, konnte die Seite eine WebAuthn-Herausforderung stellen, zu deren Abschluss der Nutzer aufgefordert wurde. Dies verstösst gegen die WebAuthn- Spezifikation, die einen fehlerfrei aufgebauten, sicheren Transport verlangt. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Firefox 140 beziehungsweise Thunderbird 140 oder neuer aktualisieren.

In der Komponente Audio/Video: Playback von Firefox besteht ein Integer Overflow. Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Firefox 153.

In der Audio/Video-Komponente von Mozilla Firefox besteht ein Integer Overflow. Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 153 oder neuer aktualisieren.

In der Audio/Video-Komponente GMP von Mozilla Firefox bestehen fehlerhafte Grenzwertbedingungen. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153, Firefox ESR 115.38 oder Firefox ESR 140.13.

Beim Wechsel zwischen Android-Apps über das Karten-Karussell zeigte Firefox als Kartenvorschau einen schwarzen Bildschirm, wenn zuletzt ein passwortbezogener Bildschirm genutzt wurde. Vor Firefox 144 war stattdessen der Bildschirm zum Bearbeiten von Passwörtern sichtbar und konnte so preisgegeben werden. CVSS-Basiswert: 9.1 (Kritisch). Die Schwachstelle wurde in Firefox 144 behoben. Empfohlene Massnahme: auf Firefox 144 oder neuer aktualisieren.

In Firefox 149.0.1 und Thunderbird 149.0.1 wurden Speichersicherheitsfehler festgestellt. Einige davon zeigten Anzeichen von Speicherkorruption, sodass sie sich mit genügend Aufwand mutmasslich zur Ausführung beliebigen Codes ausnutzen lassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Firefox 149.0.2 beziehungsweise Thunderbird 149.0.2 oder neuer aktualisieren.

In der Komponente DOM: Security von Mozilla Firefox und Thunderbird besteht laut NVD eine Schwachstelle, die die Umgehung einer Schutzmassnahme (Mitigation Bypass) erlaubt. Behoben wurde sie in Firefox 152, Firefox ESR 140.12, Thunderbird 152 und Thunderbird 140.12. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf eine der genannten korrigierten Versionen.

In der Networking-Komponente von Firefox lässt sich eine Schutzmassnahme umgehen (mitigation bypass). Die Schwachstelle wurde in Firefox 153 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153.

In der Komponente JavaScript: GC von Firefox und Thunderbird besteht eine Use-after-free-Schwachstelle. Laut Quelle wurde sie in Firefox 148 und Thunderbird 148 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Firefox 148 bzw. Thunderbird 148 aktualisieren.

In der Komponente DOM: Security lässt sich eine Schutzmassnahme umgehen (Mitigation Bypass). Der Fehler wurde laut Quelle in Firefox 152 und Thunderbird 152 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Firefox 152 beziehungsweise Thunderbird 152 aktualisieren.

In Mozilla Firefox 147 und Thunderbird 147 wurden Speichersicherheitsfehler festgestellt. Einige zeigten Anzeichen von Speicherbeschädigung und könnten sich mit genügend Aufwand zur Ausführung beliebigen Codes ausnutzen lassen. Behoben wurde dies in Firefox 148 und Thunderbird 148. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Firefox 148 bzw. Thunderbird 148 oder neuer.

Thunderbird ignorierte bei der Prüfung der Gültigkeit von Navigationen in einem Frame die Pfade. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf Firefox 141, Firefox ESR 140.1, Thunderbird 141 oder Thunderbird 140.1, in denen die Schwachstelle behoben wurde.

In der Komponente DOM: Navigation von Firefox lässt sich die Same-Origin-Policy umgehen. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153, Firefox ESR 115.38 oder Firefox ESR 140.13.

Das Setzen eines namenlosen Cookies mit einem Gleichheitszeichen im Wert überschattete andere Cookies – selbst wenn der namenlose Cookie über HTTP gesetzt wurde und der überschattete Cookie das Attribut Secure trug. Die Schwachstelle wurde in Firefox 141, Firefox ESR 140.1, Thunderbird 141 und Thunderbird 140.1 behoben. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Auf eine der genannten oder eine neuere Version aktualisieren.

In Firefox 152.0.3 wurden mehrere Speichersicherheitsfehler behoben. Laut Quellbeschreibung zeigten einige dieser Fehler Anzeichen von Speicherkorruption; es wird angenommen, dass sich zumindest ein Teil davon mit ausreichendem Aufwand zur Ausführung beliebigen Codes hätte ausnutzen lassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

In der Komponente Graphics: WebRender von Firefox besteht ein Problem mit der Site-Isolation. Die Schwachstelle wurde in Firefox 153, Firefox ESR 115.38 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153, Firefox ESR 115.38 oder Firefox ESR 140.13.

In der Komponente Networking: HTTP von Firefox besteht ein Problem mit der Site-Isolation. Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Firefox 153 bzw. Firefox ESR 140.13.

In der Networking-Komponente von Firefox besteht ein Problem bei der Site-Isolation. Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 bzw. Firefox ESR 140.13.

In der Komponente Networking: DNS von Firefox lässt sich die Same-Origin-Policy umgehen. Die Schwachstelle wurde in Firefox 153 und Firefox ESR 140.13 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Firefox 153 beziehungsweise Firefox ESR 140.13.

In der Komponente Networking: Cookies von Firefox und Thunderbird besteht laut NVD eine Umgehung der Same-Origin-Policy. Die Schwachstelle wurde in Firefox 152, Firefox ESR 140.12, Thunderbird 152 und Thunderbird 140.12 behoben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine der genannten fehlerbereinigten Versionen aktualisieren.

In der Networking-JAR-Komponente von Mozilla-Produkten besteht ein Integer-Overflow. Die Schwachstelle wurde in Firefox 151, Firefox ESR 140.11, Thunderbird 151 und Thunderbird 140.11 behoben. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf eine der korrigierten Versionen aktualisieren.