CVE-2025-4083

Mozilla Firefox/Thunderbird — ucieczka z sandbox przez javascript: URI

CVSS 9.1v3.1pub. 2025-04-29upd. 2026-04-13

Podatność izolacji procesów w Firefox i Thunderbird pozwala na wykonanie kodu JavaScript poza przeznaczoną ramką — w kontekście procesu dokumentu najwyższego poziomu. Może to prowadzić do ucieczki z mechanizmu sandbox, stanowiąc poważne zagrożenie dla bezpieczeństwa systemu.

▸ Pokaż oryginał (EN)

A process isolation vulnerability in Thunderbird stemmed from improper handling of javascript: URIs, which could allow content to execute in the top-level document's process instead of the intended frame, potentially enabling a sandbox escape. This vulnerability was fixed in Firefox 138, Firefox ESR 128.10, Firefox ESR 115.23, Thunderbird 138, and Thunderbird 128.10.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej obsługi URI typu 'javascript:' — treść ładowana przez taki URI powinna być wykonywana w kontekście izolowanej ramki (frame), jednak wskutek błędu trafia do procesu dokumentu nadrzędnego (top-level). Narusza to granicę izolacji procesów, będącą kluczowym elementem modelu bezpieczeństwa przeglądarki. Efektem może być sandbox escape, czyli wykonanie kodu poza kontrolowanym środowiskiem piaskownicy.

Skutki

Atakujący może doprowadzić do ucieczki z sandbox przeglądarki lub klienta pocztowego, potencjalnie uzyskując możliwość wykonania złośliwego kodu w uprzywilejowanym kontekście procesu oraz narażając poufność i integralność danych użytkownika.

Mitygacja

Należy zaktualizować do Firefox 138, Firefox ESR 128.10, Firefox ESR 115.23, Thunderbird 138 lub Thunderbird 128.10 — w zależności od używanej gałęzi produktu. Patche są dostępne za pośrednictwem mechanizmu automatycznej aktualizacji Mozilla oraz na oficjalnej stronie producenta.

Kogo dotyczy

Mozilla Firefox w wersjach przed 138 i przed ESR 128.10 oraz ESR 115.23; Mozilla Thunderbird w wersjach przed 138 i przed 128.10.

Uwagi

Podatność dotyczy zarówno przeglądarki Firefox, jak i klienta pocztowego Thunderbird. Błąd opisany jest jako dotyczący izolacji procesów (CWE-653 — niewystarczające wydzielenie wrażliwych instrukcji). Naprawiony w czterech oddzielnych wydaniach produktów Mozilla (Firefox, Firefox ESR 128.10, Firefox ESR 115.23, Thunderbird, Thunderbird 128.10).