CVE-2024-9398
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność w przeglądarce Firefox oraz kliencie poczty Thunderbird pozwala atakującemu sprawdzić, czy aplikacja obsługująca konkretny protokół jest zainstalowana, poprzez analizę wyników wywołań window.open z ustawionymi handlerami protokołów. Problem dotyczy wersji Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3 i Thunderbird < 131.
Ocena ryzyka
Atakujący może zdalnie wykryć obecność zainstalowanych aplikacji na komputerze użytkownika, co ułatwia profilowanie celu i planowanie dalszych ataków. Ryzyko jest szczególnie istotne dla użytkowników przeglądarek i klientów poczty w środowiskach firmowych.
Rekomendacja
Zaktualizuj Firefox do wersji 131 lub nowszej, Firefox ESR do 128.3 lub nowszej oraz Thunderbird do 128.3 lub 131 i nowszej. Wdrożenie aktualizacji najlepiej przeprowadzić przez centralne narzędzia zarządzania.
Inne podatności w Firefox, Thunderbird
Zobacz wszystkie- CVE-2026-16408Krytyczne
Przepełnienie liczb całkowitych w komponencie Audio/Wideo: Odtwarzanie w Firefoksie i Thunderbirdzie. Podatność została naprawiona w wersjach 153.
- CVE-2026-16395Krytyczne
Przepełnienie liczb całkowitych w komponencie Audio/Wideo w Firefoksie i Thunderbirdzie. Podatność została naprawiona w wersjach 153.
- CVE-2026-6770Średnie
W komponencie Storage: IndexedDB przeglądarki Firefox oraz klienta poczty Thunderbird występuje problem bezpieczeństwa. Podatność została naprawiona w wersjach Firefox 150, Firefox ESR 140.10, Thunderbird 150 i Thunderbird 140.10.
- CVE-2026-4729Krytyczne
W przeglądarce Firefox 148 i kliencie poczty Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich powodowały uszkodzenie pamięci, co mogło potencjalnie umożliwić wykonanie dowolnego kodu. Luki zostały załatane w wersjach Firefox 149 i Thunderbird 149.
- CVE-2026-4720Krytyczne
W przeglądarce Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 i Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich mogły prowadzić do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogło umożliwić zdalne wykonanie dowolnego kodu.
- CVE-2026-2807Krytyczne
W przeglądarce Firefox 147 i kliencie poczty Thunderbird 147 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich mogły prowadzić do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogłoby umożliwić zdalne wykonanie dowolnego kodu. Luka została naprawiona w wersjach Firefox 148 i Thunderbird 148.
- CVE-2026-2792Krytyczne
W przeglądarkach Firefox ESR 140.7, Firefox 147 oraz klientach poczty Thunderbird ESR 140.7 i Thunderbird 147 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich prowadziły do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogło umożliwić zdalne wykonanie dowolnego kodu.
- CVE-2026-118008Wysokie
Podatność na eskalację uprawnień w komponencie DOM: Navigation. Została naprawiona w Firefoksie 159 i Thunderbirdzie 159.
- CVE-2026-117991Niskie ryzyko· EPSS 8%
Podatność wynika z nieprawidłowych warunków granicznych w komponencie Layout: Text and Fonts przeglądarki Firefox i klienta poczty Thunderbird. Została naprawiona w wersjach Firefox 159, Firefox ESR 153.6, Thunderbird 159 oraz Thunderbird 153.6.
- CVE-2026-117990Niskie ryzyko· EPSS 8%
Podatność umożliwia ucieczkę z piaskownicy (sandbox escape) z powodu nieprawidłowych warunków granicznych w komponencie Graphics: WebRender. Została naprawiona w wersjach Firefox 159, Firefox ESR 153.6, Thunderbird 159 oraz Thunderbird 153.6.
Oryginalny opis (angielski, źródło NVD)
By checking the result of calls to `window.open` with specifically set protocol handlers, an attacker could determine if the application which implements that protocol handler is installed. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS