CVE-2025-13026

Ucieczka z sandbox w Firefox przez błąd WebGPU (CVE-2025-13026)

CVSS 9.8v3.1pub. 2025-11-11upd. 2026-04-13

Podatność w komponencie Graphics: WebGPU przeglądarki Mozilla Firefox pozwala na ucieczkę z mechanizmu sandbox z powodu nieprawidłowych warunków granicznych. Błąd jest krytyczny, ponieważ może zostać wykorzystany zdalnie bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

Sandbox escape due to incorrect boundary conditions in the Graphics: WebGPU component. This vulnerability was fixed in Firefox 145 and Thunderbird 145.

🤖 Analiza AI

Jak działa

Komponent WebGPU w Firefox nieprawidłowo sprawdza warunki graniczne (boundary conditions) podczas przetwarzania operacji graficznych. Błąd sklasyfikowany jako CWE-703 wskazuje na niewłaściwą obsługę wyjątkowych lub nienormalnych stanów, co prowadzi do naruszenia izolacji środowiska sandbox. Atakujący może wykorzystać tę podatność poprzez sieć, bez konieczności posiadania uprawnień ani angażowania działań użytkownika.

Skutki

Udane wykorzystanie podatności umożliwia atakującemu ucieczkę z izolowanego środowiska sandbox przeglądarki, co może prowadzić do przejęcia kontroli nad systemem — pełnego naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować Mozilla Firefox do wersji 145 lub nowszej oraz Mozilla Thunderbird do wersji 145 lub nowszej. Patche zostały udostępnione przez producenta zgodnie z referencjami: mfsa2025-87 (Firefox) i mfsa2025-90 (Thunderbird).

Kogo dotyczy

Mozilla Firefox w wersjach poprzedzających 145 oraz Mozilla Thunderbird w wersjach poprzedzających 145.

Uwagi

Podatność dotyczy zarówno przeglądarki Firefox, jak i klienta poczynając od poczty Thunderbird — obie aplikacje bazują na wspólnym silniku renderowania. Błąd został zgłoszony i naprawiony w ramach standardowego procesu Bugzilla Mozilla (bug #1994441).