Банк данных угроз безопасности информации (BDU) опубликовал данные о двух критических уязвимостях, затрагивающих популярное программное обеспечение Mozilla и целый ряд дистрибутивов Linux. Обе проблемы, получившие идентификаторы BDU:2026-03389 и BDU:2026-03390 (CVE-2026-0882, CVE-2026-0880), уже подтверждены производителями и классифицируются как представляющие высокий риск. Эксперты настоятельно рекомендуют пользователям и системным администраторам немедленно установить доступные обновления безопасности.
Детали уязвимости
Первая уязвимость BDU:2026-03389 (CVE-2026-0882) связана с компонентом IPC (Inter-Process Communication) в браузерах Mozilla Firefox, Firefox ESR и почтовом клиенте Thunderbird. Технически это ошибка типа использование памяти после освобождения (use-after-free). Данный класс уязвимостей возникает, когда программа продолжает использовать указатель на область памяти после того, как эта область была освобождена. В результате злоумышленник, действующий удаленно, может манипулировать данными в памяти для выполнения произвольного кода. Следовательно, это создает угрозу для конфиденциальности, целостности и доступности защищаемой информации. Базовая оценка по шкале CVSS 2.0 для этой уязвимости составляет максимальные 10.0 баллов, что соответствует критическому уровню опасности.
Вторая уязвимость BDU:2026-03390 (CVE-2026-0880) обнаружена в компоненте Graphics тех же продуктов Mozilla. Ее основой является целочисленное переполнение (integer overflow). Эта ошибка позволяет удаленному нарушителю спровоцировать утечку защищаемой информации, потенциально раскрывая конфиденциальные данные, обрабатываемые браузером или почтовым клиентом. Оценка CVSS 3.1 для данной проблемы достигает 8.8 баллов, что также классифицируется как высокий уровень опасности.
Особую значимость этим инцидентам придает широкий спектр затронутого программного обеспечения. Уязвимости затрагивают не только непосредственно приложения Mozilla, но и их версии, поставляемые в составе ключевых дистрибутивов Linux. Согласно данным BDU, в список уязвимых операционных систем входят Red Hat Enterprise Linux (множество версий, включая 7, 8, 9, 10 и различные варианты расширенной поддержки), Debian GNU/Linux (версии 11, 12, 13), Ubuntu 22.04 LTS, а также российская ОС РЕД ОС 8.0. Это означает, что риску подвержены как корпоративные серверные среды, так и рабочие станции рядовых пользователей.
К счастью, на момент публикации новости уязвимости уже устранены. Компания Mozilla выпустила обновленные версии программ: Firefox 147, Firefox ESR 140.7 и 115.32, а также Thunderbird 147 и 140.7. Производители дистрибутивов Linux также опубликовали соответствующие патчи в своих репозиториях. Например, для Red Hat Enterprise Linux исправления доступны через портал безопасности компании. Аналогично, команды Debian, Ubuntu и Ред Софт предоставили обновленные пакеты для своих пользователей.
В условиях, когда установка официального обновления по каким-либо причинам невозможна, ФСТЭК России рекомендует следовать положениям своего методического документа "Рекомендации по безопасной настройке операционных систем LINUX". Однако специалисты по кибербезопасности единодушно считают обновление ПО наиболее эффективным и приоритетным способом устранения подобных угроз. На данный момент информация о наличии публичных эксплойтов уточняется, но в подобных ситуациях промедление с установкой патчей крайне опасно.
Таким образом, обнаруженные уязвимости представляют собой серьезную угрозу. Их эксплуатация может привести к полному компрометированию системы, утечке данных или установке зловредного ПО, например, программ-вымогателей (ransomware). Системным администраторам и ИТ-отделам необходимо в срочном порядке проверить все рабочие станции и серверы на наличие уязвимых версий ПО и применить обновления. Обычным пользователям также следует убедиться, что их браузеры и почтовые клиенты обновлены до последних стабильных версий. Своевременное применение исправлений остается ключевым элементом защиты в современной цифровой среде.
Ссылки
- https://bdu.fstec.ru/vul/2026-03389
- https://bdu.fstec.ru/vul/2026-03390
- https://www.cve.org/CVERecord?id=CVE-2026-0882
- https://www.cve.org/CVERecord?id=CVE-2026-0880
- https://www.mozilla.org/security/advisories/mfsa2026-01/
- https://www.mozilla.org/security/advisories/mfsa2026-02/
- https://www.mozilla.org/security/advisories/mfsa2026-03/
- https://www.mozilla.org/security/advisories/mfsa2026-04/
- https://www.mozilla.org/security/advisories/mfsa2026-05/
- https://access.redhat.com/security/cve/cve-2026-0882
- https://security-tracker.debian.org/tracker/CVE-2026-0882
- https://ubuntu.com/security/CVE-2026-0882
- http://repo.red-soft.ru/redos/8.0/x86_64/updates/
- https://access.redhat.com/security/cve/cve-2026-0880
- https://security-tracker.debian.org/tracker/CVE-2026-0880
- https://ubuntu.com/security/CVE-2026-0880
