CVE-2026-4729

Błędy bezpieczeństwa pamięci w Mozilla Firefox 148 i Thunderbird 148

CVSS 9.8v3.1pub. 2026-03-24upd. 2026-06-30

W przeglądarkach Mozilla Firefox 148 oraz kliencie pocztowym Mozilla Thunderbird 148 wykryto błędy bezpieczeństwa pamięci (CWE-120 — buffer overflow). Część z nich wykazuje oznaki uszkodzenia pamięci, co może umożliwić wykonanie dowolnego kodu przez atakującego.

▸ Pokaż oryginał (EN)

Memory safety bugs present in Firefox 148 and Thunderbird 148. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability was fixed in Firefox 149 and Thunderbird 149.

🤖 Analiza AI

Jak działa

Podatność wynika z obecności błędów związanych z nieprawidłowym zarządzaniem pamięcią, w tym przepełnienia bufora. Niektóre z wykrytych błędów pozostawiają ślady wskazujące na faktyczne uszkodzenie pamięci procesu. Według oceny Mozilla, przy wystarczającym nakładzie pracy błędy te mogłyby zostać wykorzystane do uruchomienia dowolnego kodu w kontekście podatnej aplikacji.

Skutki

Atakujący może doprowadzić do wykonania dowolnego kodu (RCE) na systemie ofiary, co może skutkować pełnym przejęciem kontroli nad aplikacją lub systemem. Ze względu na wektor sieciowy (AV:N) i brak wymaganych uprawnień (PR:N, UI:N) atak może zostać przeprowadzony zdalnie, bez interakcji użytkownika.

Mitygacja

Należy zaktualizować Mozilla Firefox do wersji 149 oraz Mozilla Thunderbird do wersji 149, w których podatność została naprawiona. Szczegóły dostępne w poradnikach bezpieczeństwa Mozilla: mfsa2026-20 oraz mfsa2026-23.