CVE-2026-8956

Integer overflow w komponencie Networking: JAR w Firefox i Thunderbird

CVSS 9.8v3.1pub. 2026-05-19upd. 2026-05-20

Podatność typu integer overflow w komponencie Networking: JAR w przeglądarkach Mozilla Firefox oraz kliencie pocztowym Mozilla Thunderbird umożliwia zdalny atak bez uwierzytelnienia. Ze względu na ocenę CVSS 9.8 stanowi krytyczne zagrożenie dla wszystkich użytkowników niezaktualizowanych wersji.

▸ Pokaż oryginał (EN)

Integer overflow in the Networking: JAR component. This vulnerability was fixed in Firefox 151, Firefox ESR 140.11, Thunderbird 151, and Thunderbird 140.11.

🤖 Analiza AI

Jak działa

Błąd polega na przepełnieniu liczby całkowitej (integer overflow) w komponencie odpowiedzialnym za obsługę zasobów sieciowych w formacie JAR (Java Archive). Przepełnienie wartości całkowitej może prowadzić do nieprawidłowych obliczeń dotyczących rozmiaru buforów lub wskaźników pamięci, co z kolei może zostać wykorzystane przez atakującego do wykonania złośliwego kodu. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika, a wektor ataku jest sieciowy.

Skutki

Atakujący może uzyskać pełną kontrolę nad poufnością, integralnością i dostępnością systemu, w tym potencjalnie wykonać dowolny kod (RCE) w kontekście podatnej aplikacji.

Mitygacja

Należy zaktualizować oprogramowanie do wersji Firefox 151, Firefox ESR 140.11, Thunderbird 151 lub Thunderbird 140.11, w których podatność została naprawiona.

Kogo dotyczy

Mozilla Firefox w wersjach przed 151 i Firefox ESR w wersjach przed 140.11, Mozilla Thunderbird w wersjach przed 151 i Thunderbird ESR w wersjach przed 140.11.