„`html
Zusammenfassung
CVE-2026-12304 beschreibt eine kritische Sicherheitslücke in der Same-Origin-Policy (SOP) des Networking: Cookies-Komponenten von Mozilla Firefox und Thunderbird. Die Schwachstelle ermöglicht es Angreifern, die grundlegende Sicherheitsarchitektur des Browsers zu umgehen und unbefugt auf Cookies von anderen Ursprüngen zuzugreifen. Mit einem CVSS-Score von 9.1 wird diese Vulnerability als kritisch eingestuft.
Betroffene Systeme
- Mozilla Firefox (Versionen vor 152)
- Mozilla Firefox ESR (Versionen vor 140.12)
- Mozilla Thunderbird (Versionen vor 152)
- Mozilla Thunderbird ESR (Versionen vor 140.12)
Technische Details
Die Vulnerabilität liegt in der Implementierung der Same-Origin-Policy im Cookie-Management-System. Durch gezielte Netzwerk-Requests können authentifizierte Session-Cookies von anderen Webseiten extrahiert werden. Dies ermöglicht Cross-Site-Request-Forgery (CSRF)-Attacken sowie Session-Hijacking. Der Angriffsvektor ist netzwerkbasiert (Network), was bedeutet, dass keine lokale Authentifizierung erforderlich ist. Angreifer können diese Lücke remote ausnutzen, ohne Benutzerinteraktion zu benötigen.
Empfohlene Massnahmen
- Sofortige Updates: Aktualisierung auf Firefox 152, Firefox ESR 140.12, Thunderbird 152 oder Thunderbird ESR 140.12
- Patch-Management: Automatische Updates aktivieren zur Vermeidung zukünftiger Exploits
- Browser-Konfiguration: Cookie-Richtlinien überprüfen und „SameSite“-Attribute implementieren
- Monitoring: Unerwartete Cookie-Zugriffe in Access-Logs überwachen
- Multi-Faktor-Authentifizierung: Implementierung zur Mitigation von Session-Hijacking
Bewertung
Die Kritikalität dieser Vulnerability ist berechtigt. Mit einem CVSS-Score von 9.1 stellt CVE-2026-12304 eine erhebliche Bedrohung dar. Der fehlende CVSS-Qualifier „AV:L“ deutet auf einen Netzwerk-basierten Angriffsvektor hin. Ein Patch ist verfügbar und sollte unverzüglich eingespielt werden. Organisationen sollten ihre Inventare priorisieren und rollout-Prozesse beschleunigen.
„`