невзлом

К сведению · Firefox

CVE-2026-120572 — Firefox <159.0.1 Layout boundary conditions, fix 159.0.1

· CVE-2026-120572

← Простая версия для всех

Суть

CWE-119 (ADP): incorrect boundary conditions в Layout: Block and Inline. Mozilla Impact high. CISA-ADP: CVSS 3.1 8.8 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H — нужна отрисовка вредоносной страницы. GovCERT.HK (04.11.2026): успешная эксплуатация → DoS. Утверждать RCE / захват ОС по этому MFSA нельзя — публичная детализация ограничена.

Затронуто и исправлено

КаналУязвимоИсправлено
Firefox Release (Desktop)< 159.0.1≥ 159.0.1

MFSA products: Firefox only. Соседние MFSA 2026-118…122 (27.10.2026: Release 159 / ESR 115.44 и 153.6 / Thunderbird) — не этот номер. Android/iOS — не этот advisory.

Противоречие: GovCERT Affected = Windows prior to 159.0.1; MFSA не сужает ОС → для парка закрываем все Desktop Release ниже порога.

Эксплуатация

  • CISA KEV — нет.
  • MFSA / release notes: нет «exploited in the wild».

Как проверить

# UI
about:support
# → Application Basics → Version
# Windows/Linux: меню → Справка → О Firefox
# macOS: Firefox → О Firefox

# CLI (если бинарь в PATH)
firefox --version
# или: firefox-bin --version
# нужно ≥ 159.0.1

Сравнение: 159.0 < 159.0.1. Snap/Flatpak/корпоративный пакет / Microsoft Store / MSI — смотреть фактический Version string в about:support, не имя метапакета.

MDM/inventory: поле версии браузера; флаг «ниже 159.0.1».

Как исправить

  1. Интерактивно: «О Firefox» → дождаться обновления → Restart. Автообновление Release по умолчанию включено, если его не отключали политикой. Раскатка иногда волнами — повторить на следующий день, если ещё <159.0.1.
  2. Парк: снять AppUpdatePin / DisableAppUpdate / запрет автообновления Firefox (policies.json или GPO Software\Policies\Mozilla\Firefox\…); раздать 159.0.1+ через Mozilla / внутренний репозиторий. На Windows при закреплении пакета: winget upgrade Mozilla.Firefox / Chocolatey — снять pin версии.
  3. Linux: пакет дистрибутива может отставать — сверить источник на 159.0.1+. Ubuntu Snap: snap refresh firefox и проверить hold (snap refresh --list); иначе tarball/репозиторий Mozilla.
  4. Microsoft Store / корпоративный MSI: обновить тем же каналом или поставить поверх с firefox.com; критерий — Version в about:support.
  5. Критерий закрытия — фактическая Version ≥ 159.0.1, не «политика обновлений включена».

Если обновить нельзя

Официального workaround в MFSA нет. Compensating: изоляция браузинга на хостах со старой сборкой, план окна обновления. Неофициальные «патчи» — нет.

Признаки взлома и что делать

IoC Mozilla не публиковала. Падение процесса/вкладки ≠ индикатор компромисса профиля. При инциденте: ротация сессий/паролей, аудит расширений — после обновления; одного патча мало, если уже был компромисс.

Источники