Ошибка в компоненте вёрстки Layout браузера Firefox позволяет специально собранной странице вызвать отказ в обслуживании. Mozilla отнесла её к высокому уровню риска и закрыла в Firefox 159.0.1. Проблема затрагивает сборки Firefox для Windows.
Уязвимость CVE-2026-120572 в блоке вёрстки
Уведомление MFSA2026-123 (Mozilla Foundation Security Advisory, уведомление безопасности Mozilla) вышло 3 ноября 2026 года, в один день с записью CVE-2026-120572. Идентификатор CVE назначила сама Mozilla: ей доверено выдавать их для собственных продуктов. Запись зарезервировали 2 ноября, а на следующий день опубликовали. Ошибку нашли внутри компании, внешнего исследователя в уведомлении нет. Номер MFSA - это версия документа, а не номер исправления; сборка браузера с исправлением указана отдельно.
В записи CVE перечень продуктов выглядит непривычно. Запись помечает версию 159.0.1 как незатронутую, то есть речь об уже исправленной сборке. Отдельного диапазона уязвимых версий там нет: границу задаёт описание затронутых систем, по нему уязвимы сборки старше 159.0.1. Уведомление Mozilla называет продуктом Firefox без привязки к платформе, а ограничение по Windows идёт из этого описания.
Название уязвимости говорит о некорректных границах в компоненте Layout. Этот компонент отвечает за вёрстку: он расставляет блоки и строки текста на странице. В названии компонента два слова, Block и Inline, - блочный режим, где элемент занимает всю ширину, и строчный, где содержимое течёт в строку. Класс ошибки по классификации CWE - недостаточная проверка границ буфера памяти. Браузер неверно проверяет условия, при которых операция выходит за пределы такого буфера.
Отказ в обслуживании означает, что браузер перестаёт отвечать на действия пользователя или аварийно закрывается. Эксплуатация не требует учётных данных и прав. Достаточно, чтобы пользователь открыл страницу с подобранным содержимым, поэтому атака идёт по сети, а единственное условие - действие самого пользователя. Злоумышленник добивается перехода по ссылке, и подробностей о том, как подбирается содержимое, в записи нет.
Численную оценку Mozilla не приводит, в уведомлении указан только уровень High. CISA в разделе ADP присвоила 8.8 из 10 по CVSS 3.1. Согласно этому расчёту, атака идёт по сети, сложность у неё низкая, привилегии не нужны, участие пользователя требуется. Влияние на конфиденциальность, целостность и доступность CISA оценила как высокое.
Данных об эксплуатации в реальных атаках нет. В разметке SSVC (оценка состояния эксплуатации) от CISA указано, что эксплуатация не наблюдалась, а автоматическое воспроизведение атаки CISA считает невозможным. Техническое влияние она оценила как полное. Публикация уведомления и записи CVE означает раскрытие деталей, а не подтверждение атак.
Описания последствий расходятся. Сводка по затронутым системам говорит об отказе в обслуживании, тогда как расчёт CISA допускает ущерб по всем трём свойствам. Однозначного вывода из этих данных не следует, поэтому обе трактовки остаются в силе до следующего обновления записей.
Исправление вышло в Firefox 159.0.1 для Windows, сборку можно скачать с сайта Mozilla. Другие платформы уведомление не упоминает. Обходных мер запись CVE не приводит, поэтому обновление остаётся единственным действием. Для отслеживания уведомление приводит ошибку 2079035.
В корпоративном парке проверяют, что на узлах с Windows установлена сборка 159.0.1 или новее. Отложенные обновления и закреплённые старые ветки дают задержку, из-за которой браузер дольше остаётся уязвимым. Отдельного внимания требуют машины, где обновление браузера отключено политикой. При автоматическом обновлении задержка короче, однако факт установки 159.0.1 лучше подтвердить вручную.
Для парка с отложенными обновлениями значимость выше, чем для одиночных установок. Причина в том, что закрыть проблему можно только установкой 159.0.1, а обходных настроек вендор не предложил.
Ссылки
