CVE-2026-4705

Niezdefiniowane zachowanie w komponencie WebRTC Signaling w Mozilla Firefox

CVSS 9.8v3.1pub. 2026-03-24upd. 2026-04-13

Podatność krytyczna (CVSS 9.8) w komponencie WebRTC: Signaling przeglądarki Mozilla Firefox oraz klienta pocztowego Thunderbird. Umożliwia zdalnemu atakującemu bez uwierzytelnienia wykonanie potencjalnie groźnych operacji poprzez sieć.

▸ Pokaż oryginał (EN)

Undefined behavior in the WebRTC: Signaling component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9.

🤖 Analiza AI

Jak działa

Podatność wynika z niezdefiniowanego zachowania (undefined behavior) w komponencie odpowiedzialnym za sygnalizację WebRTC. Niezdefiniowane zachowanie oznacza, że kod programu wykonuje operacje, których skutki nie są określone przez specyfikację języka, co może prowadzić do nieprzewidywalnych rezultatów — w tym uszkodzenia pamięci lub wykonania niezamierzonego kodu. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani posiadania jakichkolwiek uprawnień, co czyni tę podatność szczególnie niebezpieczną.

Skutki

Atakujący może potencjalnie uzyskać pełną kontrolę nad poufnością, integralnością i dostępnością systemu — co odpowiada ocenom C:H/I:H/A:H w wektorze CVSS. Exploit może być przeprowadzony zdalnie bez uwierzytelnienia.

Mitygacja

Należy niezwłocznie zaktualizować oprogramowanie do wersji: Firefox 149, Firefox ESR 140.9, Thunderbird 149 lub Thunderbird 140.9, w których podatność została naprawiona. Aktualizacje dostępne są u producenta zgodnie z referencjami (mfsa2026-20, mfsa2026-22, mfsa2026-23, mfsa2026-24).

Kogo dotyczy

Mozilla Firefox w wersjach przed 149, Mozilla Firefox ESR w wersjach przed 140.9, Mozilla Thunderbird w wersjach przed 149 oraz Mozilla Thunderbird ESR w wersjach przed 140.9.

Uwagi

Podatność została sklasyfikowana jako CWE-758 (Reliance on Undefined, Unspecified, or Implementation-Defined Behavior) oraz NVD-CWE-noinfo, co oznacza ograniczone informacje techniczne na temat szczegółowego mechanizmu. Szczegóły błędu dostępne są w Mozilla Bugzilla pod numerem 2014873.