CVE-2026-2776

Błąd dotyczy nieprawidłowych warunków granicznych (incorrect boundary conditions) w komponencie Telemetry zewnętrznego oprogramowania (External Software), co kwalifikuje się jako podatność klasy CWE-119 — nieprawidłowe ograniczenie operacji w obrębie bufora pamięci. Skutkuje to możliwością ucieczki z izolowanego środowiska sandbox stosowanego przez przeglądarki Mozilla w celu ograniczenia skutków potencjalnych ataków. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, a zakres ataku wykracza poza izolowany komponent (S:C).

Atakujący może wydostać się z mechanizmu sandbox i uzyskać pełny dostęp do poufności, integralności oraz dostępności systemu, co w praktyce może oznaczać przejęcie kontroli nad hostem ofiary oraz wykonanie dowolnego kodu poza izolowanym środowiskiem przeglądarki.

Należy niezwłocznie zaktualizować oprogramowanie do wersji: Firefox 148, Firefox ESR 115.33, Firefox ESR 140.8, Thunderbird 148 lub Thunderbird 140.8. Patche dostępne są u producenta zgodnie z referencjami (mfsa2026-13 do mfsa2026-16).

Mozilla Firefox (wersje przed 148), Mozilla Firefox ESR (wersje przed 115.33 i przed 140.8), Mozilla Thunderbird (wersje przed 148 i przed 140.8)

Podatność dotyczy komponentu Telemetry w External Software — szczegóły techniczne zostały opublikowane pod numerem zgłoszenia Bugzilla #2015266. Brak informacji o aktywnym wykorzystaniu w środowiskach produkcyjnych (nie widnieje w katalogu CISA KEV).