Mozilla закрыла 81 уязвимость в Firefox ESR 153.7, включая шесть побегов из песочницы

Mozilla выпустила Firefox ESR 153.7 и Thunderbird 153.7. Обновление закрывает 81 уязвимость в Firefox: 51 высокого риска, 21 среднего и 9 низкого. Шесть высоких проблем позволяют выйти из песочницы, ещё несколько повышают привилегии. Для основной массы рабочих мест достаточно поставить 153.7 и убедиться в about:support, что версия действительно сменилась.

Что именно исправили в ESR-ветке

Условия атаки

Почти все высокие проблемы требуют одного действия пользователя: открыть специально сформированную страницу. По разметке CISA в записях CVE вектор сетевой, сложность низкая, привилегии не нужны, участие пользователя требуется. Влияние на конфиденциальность, целостность и доступность оценивается как высокое.

Песочница в браузере - это механизм изоляции процессов. Страница и её скрипты работают в ограниченном процессе без доступа к файловой системе и другим вкладкам. Побег из песочницы означает, что код покидает этот процесс и получает права более высокого уровня.

Именно сочетание «открыть страницу и получить код вне изоляции» делает такие наборы исправлений приоритетными для рабочего парка, а не для домашних машин.

Побеги из песочницы

Основная группа высокого риска - шесть записей. Две вызваны ошибками граничных условий: CVE-2026-124853 в компоненте Graphics: Text и CVE-2026-124859 в Storage: Cache API. Ошибка границ означает, что проверка размера или индекса выполнена неверно, и данные выходят за пределы буфера.

Четыре другие связаны с использованием памяти после освобождения (use-after-free): CVE-2026-124861 в Audio/Video: cubeb, CVE-2026-124864 в DOM: Service Workers, CVE-2026-124903 в IPC и CVE-2026-124905 в DOM: Navigation. При такой ошибке объект уже освобождён, но указатель на него остался, и атакующий подставляет на его место свои данные.

В записях CVE эти проблемы отмечены ADP-оценкой CISA в 9.6 по CVSS 3.1. Это разметка агентства, а не балл Mozilla: вендор в бюллетене оперирует уровнями риска high, medium и low без числовых значений.

Повышение привилегий и ошибки в JavaScript

Отдельно закрыто повышение привилегий в DOM: Navigation (CVE-2026-124854). Повышение привилегий даёт меньше, чем побег из песочницы, но позволяет закрепиться внутри ограниченного процесса и подготовить следующий шаг.

В Graphics: CanvasWebGL исправлена CVE-2026-124907 - тоже use-after-free, но с двойным эффектом: повышение привилегий и побег из песочницы. ADP-оценка - 8.8 по CVSS 3.1.

Затем идёт блок из четырёх ошибок работы с памятью в JavaScript: GC: CVE-2026-118007, CVE-2026-124884, CVE-2026-124892 и CVE-2026-124897. Все четыре - use-after-free, все с ADP-оценкой 8.8. Сборщик мусора освобождает объекты автоматически, и ошибка в его логике даёт атакующему контроль над содержимым освобождённой памяти.

Запись CVE-2026-118007 появилась раньше остальных, 27 октября, и исправлена в Firefox 159 и ESR 153.7.

Обходы политики одного источника и изоляции сайтов

Политика одного источника - правило, по которому скрипт с одного сайта не может читать данные другого. Обход этой политики в Networking: HTTP получил номер CVE-2026-124874. В Audio/Video похожий обход возник из-за состояния гонки, CVE-2026-124902: результат зависит от порядка выполнения операций, и атакующий может на него повлиять.

Практический смысл один: вредоносная страница получает возможность читать содержимое другой вкладки. Если в соседней вкладке открыт веб-почтовый ящик, админ-панель или внутренняя система без повторной аутентификации, данные могут уйти наружу.

Рядом стоят две проблемы изоляции сайтов - CVE-2026-124913 в Networking и CVE-2026-124914 в DOM: Navigation. Изоляция сайтов не даёт разным сайтам делить один процесс; её нарушение снижает ценность песочницы как второго рубежа.

Проблемы среднего и низкого риска

Средняя часть списка касается утечек и подмен. CVE-2026-124909 - раскрытие информации в приватном просмотре, ADP-оценка 4.3. CVE-2026-124910 - обход защитной меры в WebExtensions, то есть расширение может сделать то, что ему запрещено. CVE-2026-124912 - спуфинг в DOM: Security: интерфейс можно заставить выглядеть иначе, чем он есть.

В бюллетене также упомянуты ошибки в WebGPU и WebRTC. Для большинства организаций эти пункты не меняют порядок действий, но их стоит держать в уме при разборе инцидентов, связанных с видеозвонками и графикой в браузере.

Затронутые версии

Большая часть записей закрыта в Firefox 160, Firefox ESR 115.45, Firefox ESR 153.7, Thunderbird 160 и Thunderbird 153.7. То есть помимо актуальной ветки обновление получила и ветка 115.

Для трёх записей - CVE-2026-124854, CVE-2026-124907 и CVE-2026-118007 - в перечне исправленных версий ветка 115 не указана, фигурируют только Firefox 160 и ESR 153.7 (для CVE-2026-118007 ещё Firefox 159). Организациям, которые всё ещё держат ESR 115, стоит уточнить статус этих трёх проблем отдельно, прежде чем считать ветку закрытой.

Thunderbird обновляется до 153.7 по тем же компонентам, поэтому почтовый клиент нельзя оставлять на старой сборке, даже если браузер уже обновлён.

Если обновиться нельзя

Обходных мер Mozilla не приводит. Это ожидаемо: ошибки работы с памятью и побеги из песочницы не закрываются настройкой или отключением функции. Ослаблять песочницу и изоляцию сайтов в качестве «временной меры» смысла нет, они как раз ограничивают последствия.

Что имеет смысл сделать до раскатки обновления. Ограничить переходы по недоверенным ссылкам и открытие вложений в почте. Проверить, что пакет 153.7 доставлен на все хосты, а не на часть парка: при централизованном управлении обновления часто застревают в тестовой группе. Отдельно сверить сборки на терминалах удалённых сотрудников и на машинах, которые подключаются к внутренним системам.

После установки стоит проверить фактическую версию в about:support, а не полагаться на отчёт системы управления. Обновление, которое числится установленным, но не применилось, оставляет хост уязвимым.

Что остаётся неизвестным, так это детали эксплуатации каждой конкретной записи: в бюллетене описания компонентов, а не сценарии атаки. Приоритет при раскатке имеет смысл отдать хостам, с которых открывают внешние сайты и одновременно держат сессии во внутренних системах.