Критический патч: Mozilla закрывает пять уязвимостей нулевого дня в Firefox и Thunderbird

Банк данных угроз (BDU) опубликовал информацию о пяти критических уязвимостях в популярном программном обеспечении компании Mozilla. Речь идет о браузере Firefox, его корпоративной версии Extended Support Release (ESR) и почтовом клиенте Thunderbird. Все обнаруженные недостатки безопасности уже подтверждены производителем и устранены в последних обновлениях.

Детали уязвимостей

Уязвимости, получившие идентификаторы BDU:2026-04802, BDU:2026-04804, BDU:2026-04806, BDU:2026-04809 и BDU:2026-04811 (CVE-2026-4687, CVE-2026-4688, CVE-2026-4689, CVE-2026-4698, CVE-2026-4696), имеют максимальные баллы по шкале CVSS, что указывает на их чрезвычайно высокую опасность. Эксплуатация любой из них могла позволить злоумышленнику, действующему удаленно, получить полный контроль над системой жертвы. Это означает компрометацию конфиденциальности, целостности и доступности данных.

Техническая суть проблем кроется в фундаментальных ошибках программирования. Например, в компоненте Telemetry (BDU:2026-04802) была обнаружена классическая ошибка переполнения буфера (CWE-120), когда копирование данных происходит без проверки их размера. Другая уязвимость в компоненте Access API (BDU:2026-04804) относится к категории Use-After-Free (использование памяти после освобождения, CWE-416). Это происходит, когда программа продолжает использовать указатель на участок памяти, который уже был ей возвращен системе. В результате злонамеренный код может манипулировать этими данными для выполнения произвольных команд.

Еще одна серьезная проблема была найдена в ядре XPCOM (BDU:2026-04806), которое является кроссплатформенным компонентом для работы с объектами. Здесь сочетались целочисленное переполнение и недостаточная проверка исключительных состояний. Аналогичные ошибки типа Use-After-Free были исправлены в модулях JavaScript Engine (BDU:2026-04809) и Layout: Text and Fonts (BDU:2026-04811), отвечающих за обработку сценариев и отображение текста соответственно.

Способы эксплуатации, указанные в BDU, включают манипулирование сроками, состоянием и структурами данных. На практике это может выглядеть как посещение специально созданной вредоносной веб-страницы в Firefox или открытие скомпрометированного письма в Thunderbird. Для успешной атаки не требуется никаких специальных привилегий или действий со стороны пользователя, кроме этих базовых операций. Такие уязвимости часто становятся целью сложных цепочек эксплойтов, используемых APT-группами.

Важно отметить, что все перечисленные уязвимости затрагивают широкий спектр версий ПО. Под угрозой находились Firefox и Thunderbird версий ниже 149, а также ветки Firefox ESR ниже 115.34 и 140.9. Корпоративная версия ESR пользуется популярностью в организациях, где требуется длительная поддержка без частых обновлений функционала, поэтому подобные инциденты представляют для них особую опасность.

К счастью, компания Mozilla оперативно отреагировала на обнаруженные проблемы. Были выпущены соответствующие бюллетени безопасности с идентификаторами MFSA2026-20 - MFSA2026-24. Эти обновления полностью устраняют все пять критических уязвимостей. Следовательно, единственной эффективной мерой защиты является немедленное обновление браузера и почтового клиента до актуальных версий.

На момент публикации новости информация о наличии активных эксплойтов уточняется. Однако, учитывая критический уровень угроз и публичность данных, специалисты по кибербезопасности рекомендуют считать риски высокими. Обычно подобные уязвимости быстро привлекают внимание исследователей и злоумышленников. Следовательно, задержка с установкой патчей может привести к реальным инцидентам.

Данный кейс в очередной раз подчеркивает важность своевременного обновления программного обеспечения, особенно такого критичного, как веб-браузер. Firefox и Thunderbird проходят постоянный аудит, что позволяет относительно быстро находить и устранять глубокие системные ошибки. Тем не менее, временное окно между обнаружением уязвимости и установкой исправления пользователями остается наиболее рискованным периодом. Системные администраторам в корпоративном секторе следует обратить особое внимание на обновление веток ESR, чтобы обеспечить безопасность рабочих мест.

Детали уязвимостей

Ссылки