„`html
Zusammenfassung
CVE-2026-74946 ist eine Schwachstelle mit hohem Schweregrad (CVSS 8.8) in der Graphics: CanvasWebGL-Komponente von Mozilla Firefox und Thunderbird. Die Anfälligkeit ermöglicht eine Privilege Escalation durch fehlerhafte Grenzwertprüfungen und wurde in mehreren stabilen und ESR-Versionen behoben.
Betroffene Systeme
- Mozilla Firefox (vor Version 154)
- Mozilla Firefox ESR (vor 115.39, 140.14, 153.1)
- Mozilla Thunderbird (vor Version 154)
- Mozilla Thunderbird ESR (vor 140.14, 153.1)
Technische Details
Die Anfälligkeit liegt in der WebGL-Canvas-Rendering-Engine vor. Durch fehlerhafte Boundary Conditions in der Speicherverwaltung kann ein Angreifer kontrollierte Speicherzugriffe durchführen. Dies ermöglicht das Ausbrechen aus der Sandbox-Isolation und die Eskalation von Berechtigungen auf Systemebene.
Der Angriffsvektor ist netzwerkbasiert, wodurch Remote-Exploitation über manipulierte WebGL-Inhalte möglich ist. Eine Benutzerinteraktion ist erforderlich, um den Exploitationsprozess zu initiieren.
Empfohlene Massnahmen
- Sofortige Aktualisierung auf Firefox 154 oder höher
- Update auf Thunderbird 154 oder entsprechende ESR-Versionen (115.39+, 140.14+, 153.1+)
- Implementierung von Content Security Policy (CSP) zur Einschränkung von WebGL-Ressourcen
- Deaktivierung von WebGL in Hochrisiko-Umgebungen, sofern nicht erforderlich
- Kontinuierliche Überwachung von Firefox/Thunderbird-Prozessen auf verdächtige Aktivitäten
Bewertung
Schweregrad: High (CVSS 8.8)
Das hohe CVSS-Rating und der netzwerkbasierte Angriffsvektor klassifizieren diese Schwachstelle als kritisch. Die Patch-Verfügbarkeit ermöglicht eine schnelle Risikominderung. Organisationen sollten Firmware-Updates als Priorität einstufen.
„`