CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2022-26486

Use-after-free w WebGPU IPC framework Mozilla — sandbox escape

CVSS 9.6v3.1pub. 2022-12-22upd. 2025-11-04

Podatność typu use-after-free w mechanizmie WebGPU IPC w produktach Mozilla umożliwia ucieczkę z piaskownicy (sandbox escape). Luka była aktywnie wykorzystywana w atakach w środowisku produkcyjnym.

▸ Pokaż oryginał (EN)

An unexpected message in the WebGPU IPC framework could lead to a use-after-free and exploitable sandbox escape. We have had reports of attacks in the wild abusing this flaw. This vulnerability affects Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2, and Focus < 97.3.0.

🤖 Analiza AI

Jak działa

Nieoczekiwana wiadomość przesłana do frameworka WebGPU IPC powoduje odwołanie do obszaru pamięci, który został już zwolniony (use-after-free). Błąd ten może zostać wywołany zdalnie przez nakłonienie użytkownika do odwiedzenia spreparowanej strony internetowej. Skutkiem jest możliwość ucieczki z piaskownicy przeglądarki i wykonania kodu poza jej izolowanym środowiskiem.

Skutki

Atakujący może przejąć kontrolę nad procesem poza piaskownicą przeglądarki, co w praktyce oznacza możliwość wykonania dowolnego kodu z uprawnieniami użytkownika systemowego oraz naruszenie poufności, integralności i dostępności danych.

Mitygacja

Należy natychmiast zaktualizować do: Firefox 97.0.2, Firefox ESR 91.6.1, Firefox for Android 97.3.0, Thunderbird 91.6.2, Firefox Focus 97.3.0 lub nowszych wersji zgodnie z zaleceniami Mozilla Security Advisory MFSA2022-09.

Kogo dotyczy

Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Mozilla Thunderbird < 91.6.2, Firefox Focus < 97.3.0

Uwagi

Mozilla potwierdziła w opisie podatności, że otrzymała zgłoszenia aktywnych ataków wykorzystujących tę lukę (attacks in the wild). Podatność figuruje w katalogu CISA Known Exploited Vulnerabilities.