CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2024-9680

Use-after-free w Animation timelines Firefox/Thunderbird — RCE

CVSS 9.8v3.1pub. 2024-10-09upd. 2025-11-04

Krytyczna podatność use-after-free w mechanizmie Animation timelines przeglądarki Firefox oraz klienta pocztowego Thunderbird umożliwia atakującemu zdalne wykonanie kodu w procesie treści (content process). Podatność jest aktywnie wykorzystywana w rzeczywistych atakach.

▸ Pokaż oryginał (EN)

An attacker was able to achieve code execution in the content process by exploiting a use-after-free in Animation timelines. We have had reports of this vulnerability being exploited in the wild. This vulnerability affects Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1, and Thunderbird < 115.16.0.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowym zarządzaniu pamięcią w module obsługi Animation timelines — po zwolnieniu obiektu w pamięci możliwe jest odwołanie się do niego ponownie (use-after-free), co prowadzi do wykonania arbitralnego kodu. Atakujący może wywołać podatność zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, poprzez spreparowaną stronę internetową lub wiadomość e-mail renderowaną przez podatną aplikację. Wykonanie kodu następuje w kontekście procesu treści (content process).

Skutki

Atakujący może uzyskać pełną kontrolę nad procesem treści aplikacji, co może prowadzić do ujawnienia poufnych danych, modyfikacji danych lub destabilizacji aplikacji. W połączeniu z innymi podatnościami możliwe jest dalsze przejęcie systemu.

Mitygacja

Należy niezwłocznie zaktualizować Mozilla Firefox do wersji 131.0.2 lub nowszej, Firefox ESR do wersji 128.3.1 lub 115.16.1, Mozilla Thunderbird do wersji 131.0.1, 128.3.1 lub 115.16.0 zgodnie z kanałem aktualizacji stosowanym w organizacji.

Kogo dotyczy

Mozilla Firefox w wersjach poniżej 131.0.2; Mozilla Firefox ESR w wersjach poniżej 128.3.1 oraz poniżej 115.16.1; Mozilla Thunderbird w wersjach poniżej 131.0.1, poniżej 128.3.1 oraz poniżej 115.16.0.

Uwagi

Podatność została potwierdzona przez Mozilla jako aktywnie wykorzystywana w środowisku produkcyjnym (in the wild) przed opublikowaniem poprawki. Zgłoszenie w Mozilla Bugzilla nosi numer 1923344.