Mozilla закрыла в Firefox ESR 115.45 28 уязвимостей, шесть из них ведут к побегу из песочницы

Mozilla выпустила Firefox ESR 115.45 - обновление закрывает 28 уязвимостей, и все они отнесены вендором к высокому уровню риска. Шесть ошибок позволяют выйти из песочницы браузера, две обходят политику same-origin, остальные в основном связаны с обращением к уже освобождённой памяти. Обновиться стоит в течение ближайших дней всем, кто держит ветку 115 на рабочих станциях: это самая старая из поддерживаемых линеек, и накопленный набор ошибок в ней уже большой.

Что именно исправлено

Выпуск не содержит одной большой уязвимости. Это плановый пакет исправлений, в котором смешаны десятки независимых ошибок в разных подсистемах движка Gecko. Такой набор сложнее оценивать: часть ошибок опасна только вместе с другими, часть сама по себе даёт контроль над процессом.

Общая черта большинства записей - работа с памятью после освобождения. Это класс ошибок, при котором программа обращается к участку памяти, уже отданному под другие данные. Атакующий может подставить туда своё содержимое и направить выполнение кода в нужную сторону. На практике такие ошибки чаще всего приводят к выполнению произвольного кода в процессе браузера.

Побеги из песочницы

Песочница - это механизм изоляции, при котором страница выполняется в ограниченном процессе без доступа к файловой системе и системе целиком. Побег из песочницы означает, что ограничение снимается и код выходит за пределы изолированного процесса.

Mozilla исправила шесть таких ошибок:

CVE-2026-124853 - некорректные граничные условия в Graphics: Text;
CVE-2026-124861 - обращение к освобождённой памяти в Audio/Video: cubeb;
CVE-2026-124905 - побег из песочницы в DOM: Navigation;
CVE-2026-124864 - обращение к освобождённой памяти в DOM: Service Workers;
CVE-2026-124859 - некорректные граничные условия в Storage: Cache API;
CVE-2026-124903 - обращение к освобождённой памяти в IPC.

По оценке CISA ADP, которая приводится в записях каталога CVE, уязвимости CVE-2026-124853, CVE-2026-124861, CVE-2026-124864, CVE-2026-124859 и CVE-2026-124903 получили 9.6 по шкале CVSS 3.1. Вектор атаки - сетевой, сложность низкая, привилегии не нужны, требуется участие пользователя. Для CVE-2026-124905 оценки в источнике нет.

Важно, что 9.6 - это оценка внешнего аналитического каталога, а не самого вендора. Mozilla в бюллетене ограничилась указанием уровня риска «высокий» для всего выпуска.

Ошибки работы с памятью

Основную массу исправлений составляют обращения к освобождённой памяти в прикладных подсистемах. В Audio/Video закрыты CVE-2026-124952, CVE-2026-124860 и CVE-2026-124865. В Graphics: Canvas2D исправлена CVE-2026-124857, в Graphics: Text - CVE-2026-124885.

Затронуты и подсистемы разбора разметки и стилей. В DOM: HTML Parser закрыты CVE-2026-124858 и CVE-2026-124863. В DOM: Core & HTML - CVE-2026-124880 и CVE-2026-124890. В DOM: Editor - CVE-2026-124898. В CSS Parsing and Computation исправлены сразу три ошибки: CVE-2026-124876, CVE-2026-124881 и CVE-2026-124882.

Отдельно стоит отметить Storage: localStorage & sessionStorage, где закрыта CVE-2026-124895, и Cycle Collector с CVE-2026-124872. Последний компонент отвечает за поиск циклических ссылок при сборке мусора - ошибка в нём опасна тем, что проявляется не сразу и плохо воспроизводится при тестировании.

В Layout исправлены CVE-2026-124877 (Layout: Positioned) и CVE-2026-124899 (Layout: Text and Fonts). Плюс порча фреймов в компоненте Layout - CVE-2026-109736, единственная запись в выпуске, опубликованная раньше остальных, еще 13 октября.

Обход политики same-origin

Политика same-origin - правило, по которому страница одного сайта не может читать данные другого. Обход этого правила сам по себе не даёт выполнения кода, но позволяет вытащить содержимое чужой вкладки или сессионные данные.

Здесь исправлены две ошибки. В Networking: HTTP закрыт обход CVE-2026-124874. В Audio/Video причина другая - состояние гонки, то есть ситуация, когда результат зависит от порядка выполнения потоков; это CVE-2026-124902. Гонки воспроизводятся нестабильно, поэтому эксплуатация такой ошибки требует подбора условий.

Еще две записи не попали в крупные категории. В Networking: JAR исправлена CVE-2026-124901 без уточнения характера ошибки в описании. В DOM: CSS Object Model закрыта CVE-2026-124875 - некорректные граничные условия.

Затронутые версии

Исправления вошли в Firefox 160, Firefox ESR 153.7 и Firefox ESR 115.45. Для Thunderbird указаны версии 160 и 153.7, а для CVE-2026-109736 - еще и 153.5.

Одна деталь важна для тех, кто ведет учет версий. Уязвимость CVE-2026-124952, по данным записи CVE, исправлена только в Firefox ESR 115.45. Для основной ветки и для ESR 153 исправление не заявлено. Это отличает ее от остальных записей выпуска, где перечислены все три линейки.

Ветка ESR 115 предназначена для долгой поддержки, но она отстает от актуальных выпусков на несколько major-версий. Обновление до 115.45 закрывает перечисленные ошибки, однако не сокращает это отставание.

Что сделать в первую очередь

Обновите браузер до 115.45 и проверьте фактическую версию на странице about:support. Это же касается сборок, которые распространяются внутри организации: часто установщик обновляет программу, но не подменяет уже развернутый профиль с закрепленной версией.

Если обновление распространяется через централизованную систему управления, проверьте, что пакет доехал до конечных точек, а не только до эталонной машины. Отдельно проверьте машины с исключениями из политики обновлений - именно там обычно остаются старые сборки.

Если обновиться нельзя

Mozilla не приводит обходных мер для этого выпуска. Единственный надежный способ закрыть ошибки - установка 115.45 или переход на поддерживаемую линейку.

Как временная мера снижения риска подходит ограничение сценариев использования браузера: изоляция экземпляров на уровне виртуальных машин или контейнеров, запрет на открытие недоверенных сайтов в том же профиле, где хранятся рабочие сессии. Для побегов из песочницы это не замена патчу, а лишь сокращение поверхности атаки.

Отдельно проверьте, не используется ли ветка 115 в качестве встроенного компонента в другом продукте. Такие сборки обновляются вместе с основным приложением, и патч может прийти позже официального релиза.