Уязвимость в Firefox позволяет удаленно вызвать отказ в обслуживании

Запись за границами буфера в веб-браузере Firefox стала причиной уязвимости, позволяющей удаленному нарушителю вызывать отказ в обслуживании. Проблема затрагивает версии браузера вплоть до 152.0.4, и разработчики Mozilla уже выпустили исправление.

Детали уязвимости

Уязвимость получила идентификаторы BDU:2026-11257 и CVE-2026-14241 и относится к категории ошибок записи за границами буфера (CWE-787). Суть ошибки в том, что при обработке определенных данных программа может записать информацию за пределы выделенной области памяти. Это приводит к повреждению соседних структур данных, из-за чего процесс браузера может аварийно завершиться. В документации указано, что эксплуатация уязвимости возможна удаленно, нарушителю не требуется проходить аутентификацию. В зависимости от условий, атака может вызывать нестабильную работу или полный отказ в обслуживании.

Для эксплуатации уязвимости нарушителю достаточно организовать переход пользователя на специально подготовленную веб-страницу. Такой переход может быть замаскирован под обычную ссылку в электронном письме или на легитимном сайте, который был скомпрометирован. После загрузки страницы браузер начнет обрабатывать содержащиеся в ней данные, что приведет к ошибке записи за пределами выделенной памяти. В результате браузер аварийно завершится, а пользователь не сможет продолжить работу, что и является отказом в обслуживании.

Специалисты оценили базовый вектор по шкале CVSS 3.1 в 9,8 балла из 10, что соответствует критическому уровню опасности. По версии CVSS 2.0 оценка составила 10 баллов. При этом в описании Mozilla и в Банке данных угроз говорится именно о отказе в обслуживании, а не о выполнении кода. Тем не менее подобные ошибки в браузерах иногда могут быть использованы и для более серьезных действий, однако в данном случае такие сценарии не подтверждены.

Уязвимость подтверждена производителем. Mozilla опубликовала бюллетень безопасности MFSA 2026-62, в котором указана исправленная версия 152.0.4. Поскольку Firefox широко используется в различных операционных системах, обновления выпущены для нескольких платформ. В частности, в перечень уязвимого ПО включены Ubuntu 22.04 LTS и Astra Linux Special Edition 1.8. Последняя система особенно важна для российских организаций, поскольку она включена в единый реестр российских программ и применяется в государственных информационных системах.

Судя по характеру ошибки и тому, что Mozilla выпустила единый бюллетень MFSA 2026-62, уязвимость затрагивает все поддерживаемые платформы, где работает Firefox. В связи с этим обновление браузера рекомендуется вне зависимости от операционной системы. Проверить установленную версию можно в меню браузера, в разделе "О Firefox". Если номер версии оказывается меньше 152.0.4, необходимо запустить обновление.

Банк данных угроз безопасности информации (BDU) зафиксировал уязвимость с указанием критического уровня опасности. Наличие записи в этой базе обязывает российские организации, использующие BDU для мониторинга угроз, учитывать данную проблему в своих процессах управления исправлениями. Кроме того, для Astra Linux выпущено отдельное обновление, что особенно актуально для пользователей сертифицированных конфигураций этой операционной системы.

Для пользователей Ubuntu обновление доступно через штатный механизм обновлений. Страница с деталями CVE-2026-14241 размещена на сайте Ubuntu. Для Astra Linux Special Edition 1.8 подготовлен обновленный пакет Firefox версии 152.0.6+build1-0ubuntu0.25.10.1astra1, который уже содержит исправление. Производитель Astra Linux также выпустил бюллетень с рекомендациями по установке. Пользователям и администраторам рекомендуется обновить браузер до указанных версий или до более поздних.

Ошибки записи за границами буфера относятся к числу наиболее распространенных классов уязвимостей в приложениях на низкоуровневых языках. В браузерах они встречаются регулярно, поскольку эти продукты обрабатывают большие объемы непроверенных данных из интернета. Даже если последствия ограничиваются отказом в обслуживании, проблема требует внимания: непрерывная работа браузера важна для многих бизнес-процессов. Кроме того, подобные ошибки могут указывать на наличие других скрытых проблем в коде.

В текущей ситуации уровень риска смягчается тем, что уязвимость уже устранена в актуальных версиях Firefox. Для обычных пользователей достаточно выполнить обновление через встроенный механизм браузера. Для корпоративных сред рекомендуется провести инвентаризацию установленных версий и внедрить централизованное управление исправлениями. Особое внимание стоит уделить системам, где Firefox поставляется как компонент операционной системы, - в этом случае обновление необходимо получать через репозитории дистрибутива.

Уязвимость затрагивает все версии Firefox до 152.0.4, включая сборки, распространяемые в составе Ubuntu и Astra Linux. Разработчики выпустили обновление, и пользователям следует установить его в кратчайшие сроки, чтобы исключить возможность удаленной атаки на браузер.

Детали уязвимости

Ссылки