В Firefox исправлены уязвимости, которые позволяют выйти за пределы песочницы и обойти политику одного источника. Песочница - изолированная среда, в которой браузер держит процессы вкладок; политика одного источника - правило, по которому страницы разных сайтов не читают данные друг друга. Множество проблем связано с работой с памятью: код обращается к уже освобождённым участкам или читает неинициализированные данные. Затронуты настольные сборки Firefox, а одна из проблем касается версии для Android.
Память, DOM и сетевые компоненты Firefox 159
Основной массив исправлений касается обращения с памятью. Среди типов ошибок - обращение к освобождённой памяти (use-after-free): программа продолжает работать с участком, который уже вернула системе. Дальше идут ошибки в проверках границ, когда код неверно определяет размер буфера, то есть выделенного участка памяти. Сюда же относятся целочисленное переполнение, неинициализированная память и некорректные указатели.
Отдельную группу составляют проблемы изоляции. Выход за пределы песочницы означает попытку покинуть среду, где браузер держит процессы вкладок. Обход политики одного источника открывает странице доступ к данным другого сайта. Перечислены также повышение привилегий, обход защитных механизмов, ошибки изоляции сайтов и подмена интерфейса (spoofing).
Ошибки расходятся по многим подсистемам. Это DOM (объектная модель документа, из которой браузер строит страницу), движок JavaScript, вёрстка Layout, графика и Canvas, SVG и XML, сетевые компоненты и WebRTC (передача видео и звука между браузерами), работа с аудио и видео, а также CSS. Песочница ограничивает ущерб от такой ошибки: код вкладки работает в отдельном процессе с урезанными правами, поэтому одного дефекта памяти мало для доступа ко всей системе.
Оценку CVSS Mozilla не приводит. Вместо неё указан уровень влияния high (высокий), а у части проблем - moderate (умеренный) и low (низкий). Условия атаки в уведомлении не расписаны: не сказано, нужен ли сетевой доступ, требуются ли учётные данные и участие пользователя. Подробности есть в описаниях ошибок, номера которых приведены для каждой проблемы. Сведений об эксплуатации в реальных атаках нет, а публикация технических деталей сама по себе не значит, что уязвимости уже используют.
Новая схема публикации уведомлений Mozilla
Mozilla изменила порядок выпуска уведомлений. Раньше все найденные внутри компании проблемы безопасности памяти сводились в один CVE - идентификатор уязвимости; теперь уведомление выходит на каждую отдельную ошибку. Для администраторов это значит более длинные списки в одном выпуске и больше идентификаторов. Приоритет удобнее задавать по уровню влияния и затронутому компоненту, иначе разбирать перечень долго. Обновление браузера закрывает весь набор целиком.
Подмена в загрузках Firefox для Android
Одна из проблем относится только к Firefox для Android: в компоненте загрузок возможна подмена отображаемых данных (CVE-2026-118018), уровень влияния moderate. Ещё ряд проблем помечен как low: раскрытие информации в сетевых компонентах и в DNS, состояние гонки (race condition) в механизме межпроцессного взаимодействия и обход защитного механизма в подписках на push-уведомления. Многие ошибки нашли сторонние исследователи, в том числе специалисты OpenAI.
Исправление вышло в Firefox 159, уведомление опубликовано 27 октября 2026 года. Обходных мер Mozilla не приводит, поэтому остаётся обновление до указанной версии. Ставить его нужно и на настольные установки, и на Android: часть проблем общая для обеих сборок.
Набор значим по формальному уровню влияния. Выход за пределы песочницы и обход изоляции сайтов превращают отдельные ошибки в основу для цепочки атаки. Сведений о реальных атаках Mozilla не приводит, но обновление до Firefox 159 закрывает весь список.
Ссылки
