🔴 CVE-2026-74956: Critical Luecke in Mozilla Firefox

„`html

Zusammenfassung

CVE-2026-74956 ist eine kritische Sicherheitslücke in der Same-Origin Policy (SOP) Implementierung der Service Workers Komponente von Mozilla Firefox und Thunderbird. Die Schwachstelle ermöglicht es Angreifern, die Same-Origin Policy zu umgehen und unberechtigt auf Ressourcen von anderen Domains zuzugreifen. Der kritische CVSS-Wert von 9.1 unterstreicht die erhebliche Gefährdung durch diese Lücke.

Betroffene Systeme

• Mozilla Firefox (vor Version 154)
• Mozilla Firefox ESR (vor Version 153.1)
• Mozilla Thunderbird (vor Version 154)
• Mozilla Thunderbird (vor Version 153.1)

Die Anfälligkeit betrifft alle Versionen, die älter als die genannten Patch-Versionen sind.

Technische Details

Die Lücke befindet sich in der Service Workers API und dem zugehörigen DOM-Handling. Service Workers fungieren als Proxy zwischen Web-Anwendungen und dem Netzwerk. Die fehlerhafte Validierung der Same-Origin Policy in dieser Komponente ermöglicht es, dass Service Worker Anfragen von unterschiedlichen Origins verarbeiten können, ohne die notwendigen CORS-Überprüfungen durchzuführen.

Ein entfernter Angreifer kann diesen Fehler über präparierte Webinhalte ausnutzen, um privilegierte Operationen durchzuführen oder sensible Daten abzugreifen. Der Angriffsvektor ist netzwerkgestützt und erfordert keine Benutzer-Authentifizierung.

Empfohlene Massnahmen

• Sofortiges Update: Aktualisieren Sie Firefox auf Version 154 oder höher
• ESR-Update: Thunderbird und Firefox ESR-Nutzer sollten auf 153.1 oder neuer upgraden
• Überprüfung: Kontrollieren Sie installierte Browser-Erweiterungen auf Anomalien
• Überwachung: Monitoring verdächtiger Netzwerkaktivitäten implementieren

Bewertung

CVSS Score: 9.1 (Kritisch)
Verfügbarkeit eines Patches: Ja
Exploitbarkeit: Hoch (Netzwerkbasiert, geringe Komplexität)

Diese Sicherheitslücke erfordert sofortiges Handeln. Der kritische CVSS-Wert und die triviale Exploitbarkeit machen ein unverzügliches Patchen essentiell.

„`