🟠 CVE-2026-74950: High Luecke in Mozilla Firefox

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-74950 ist eine Privilege-Escalation-Anfälligkeit in der Downloads API von Mozilla Firefox und Thunderbird. Mit einem CVSS-Score von 8.8 wird diese als kritisch eingestuft. Die Lücke ermöglicht es Angreifern, ihre Berechtigungen zu erhöhen und potenziell vollständige Kontrolle über das System zu erlangen.

Betroffene Systeme

• Mozilla Firefox (Versionen vor 154)
• Mozilla Firefox ESR (Versionen vor 153.1)
• Mozilla Thunderbird (Versionen vor 154)
• Mozilla Thunderbird ESR (Versionen vor 153.1)

Technische Details

Die Schwachstelle existiert in der Downloads API-Komponente beider Mozilla-Anwendungen. Über den Netzwerk-Angriffsvektor (CVSS:3.1/AV:N) können Angreifer eine speziell präparierte Anfrage senden, um die Privilege-Escalation auszulösen. Das Fehler erlaubt es, aus einem Low-Privilege-Kontext heraus höhere Berechtigungen zu erlangen.

Die genaue Auslösemechanismus liegt in einer fehlerhaften Validierung oder Autorisierungsprüfung innerhalb der Download-Funktionalität. Dies könnte beispielsweise durch File-Download-Operationen mit manipulierten Parametern ausgenutzt werden.

Empfohlene Massnahmen

1. Sofort aktualisieren: Installieren Sie Firefox 154, Firefox ESR 153.1, Thunderbird 154 oder Thunderbird 153.1 umgehend
2. Browser-Neustarts: Erzwingen Sie nach dem Update einen vollständigen Neustart der Anwendung
3. Monitoring: Überwachen Sie Systeme auf verdächtige Download-Aktivitäten
4. Sicherheitsupdates: Implementieren Sie automatische Update-Mechanismen für Mozilla-Produkte

Bewertung

Mit CVSS 8.8 und aktiviertem Patch handelt es sich um eine kritische, aber behobbare Schwachstelle. Die Verfügbarkeit eines Fixes ermöglicht schnelle Risikominderung. Priorität sollte auf die zeitnahe Bereitstellung der Updates gelegt werden.

„`