CVE-2026-5735

Błędy bezpieczeństwa pamięci w Firefox i Thunderbird 149.0.1 (RCE)

CVSS 9.8v3.1pub. 2026-04-07upd. 2026-06-30

W przeglądarkach Mozilla Firefox 149.0.1 oraz kliencie pocztowym Mozilla Thunderbird 149.0.1 wykryto błędy bezpieczeństwa pamięci (CWE-787 — zapis poza granicami bufora), z których część wykazuje ślady korupcji pamięci. Podatność jest krytyczna, ponieważ może umożliwić atakującemu zdalne wykonanie dowolnego kodu bez jakiejkolwiek interakcji czy uprawnień po stronie ofiary.

▸ Pokaż oryginał (EN)

Memory safety bugs present in Firefox 149.0.1 and Thunderbird 149.0.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149.0.2 and Thunderbird 149.0.2.

🤖 Analiza AI

Jak działa

Podatność wynika z błędów typu out-of-bounds write w zarządzaniu pamięcią przez silnik przeglądarki/klienta pocztowego. Niektóre z wykrytych błędów prowadziły do korupcji pamięci procesu, co stwarza podstawy do ich wykorzystania w celu przejęcia kontroli nad przepływem wykonania programu. Atakujący może dostarczyć specjalnie spreparowaną zawartość (np. stronę internetową lub wiadomość e-mail), która wyzwoli podatny kod bez potrzeby uwierzytelnienia lub interakcji użytkownika.

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na zdalne wykonanie dowolnego kodu (RCE) w kontekście procesu Firefox lub Thunderbird, co może prowadzić do pełnego przejęcia sesji użytkownika, wycieku danych lub instalacji złośliwego oprogramowania.

Mitygacja

Należy niezwłocznie zaktualizować Mozilla Firefox do wersji 149.0.2 lub nowszej oraz Mozilla Thunderbird do wersji 149.0.2 lub nowszej. Patche są dostępne poprzez mechanizm automatycznej aktualizacji lub bezpośrednio na stronach producenta wskazanych w referencjach.