„`html
Zusammenfassung
CVE-2026-74949 ist eine Sicherheitslücke mit hohem Schweregrad (CVSS 8.8) in der Graphics: Canvas2D-Komponente von Mozilla Firefox und Thunderbird. Die Vulnerability ermöglicht eine Privilege Escalation durch einen Use-After-Free-Fehler und wurde in mehreren aktuellen Versionen behoben.
Betroffene Systeme
- Mozilla Firefox (vor Version 154)
- Mozilla Firefox ESR (vor Version 140.14 und 153.1)
- Mozilla Thunderbird (vor Version 154)
- Mozilla Thunderbird ESR (vor Version 140.14 und 153.1)
Technische Details
Die Vulnerabilität basiert auf einem Use-After-Free-Fehler in der Canvas2D-Komponente des Rendering-Engines. Ein Angreifer kann diese Speicherverwaltungslücke exploitieren, um nach dem Freigeben eines Speicherbereichs auf diesen zuzugreifen. Dies ermöglicht die Ausführung von Arbiträr-Code mit erhöhten Privilegien.
Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass ein Angreifer die Exploitation remote durchführen kann. Ein Benutzer müsste lediglich eine manipulierte Website besuchen, um angreifbar zu sein. Die Canvas2D-API wird häufig für Grafikrendering in Web-Anwendungen verwendet.
Empfohlene Massnahmen
- Firefox auf Version 154 oder höher aktualisieren
- Firefox ESR auf Version 140.14 oder 153.1+ aktualisieren
- Thunderbird auf Version 154 oder höher aktualisieren
- Thunderbird ESR auf Version 140.14 oder 153.1+ aktualisieren
- Automatische Updates aktivieren
- Browser-Sandboxing-Funktionen aktivieren
Bewertung
Mit einem CVSS-Score von 8.8 und verfügbarem Patch wird eine sofortige Aktualisierung empfohlen. Die Kombination aus netzwerkbasiertem Angriffsvektor und Privilege-Escalation-Möglichkeit stellt eine ernst zu nehmende Bedrohung dar. Mozilla hat zeitnah Patches bereitgestellt, die umgehend eingespielt werden sollten.
„`