CVE-2025-13023

Luka wynika z niepoprawnie zdefiniowanych warunków granicznych (boundary conditions) w komponencie obsługującym WebGPU w warstwie graficznej Firefox. Mechanizm sandbox służy do izolowania procesów przeglądarki od systemu operacyjnego, jednak błędna weryfikacja granic pozwala na jej obejście. Atakujący może dostarczyć specjalnie spreparowaną zawartość WebGPU, która doprowadzi do naruszenia logiki izolacji i wydostania się z piaskownicy. Ze względu na wektor sieciowy (AV:N) oraz brak wymagań co do uwierzytelnienia lub interakcji użytkownika (PR:N, UI:N), atak może zostać przeprowadzony zdalnie.

Skuteczne wykorzystanie podatności pozwala atakującemu na ucieczkę z sandbox przeglądarki, co może prowadzić do uzyskania pełnej kontroli nad systemem ofiary – w tym poufności, integralności i dostępności danych (CVSS C:H/I:H/A:H).

Należy zaktualizować Mozilla Firefox do wersji 145 lub nowszej oraz Mozilla Thunderbird do wersji 145 lub nowszej. Patche są dostępne bezpośrednio od producenta zgodnie z opublikowanymi poradnikami bezpieczeństwa MFSA2025-87 i MFSA2025-90.

Mozilla Firefox w wersjach poprzedzających 145 oraz Mozilla Thunderbird w wersjach poprzedzających 145.

Podatność dotyczy zarówno przeglądarki Firefox, jak i klienta pocztowego Thunderbird, ponieważ oba produkty współdzielą silnik Gecko i komponent WebGPU. Szczegóły techniczne dostępne są w zgłoszeniu Bugzilla o numerze 1992032.