Kritische Use-After-Free Sicherheitslücke in Mozilla Firefox und Firefox ESR

Am 9. Oktober 2024 veröffentlichte die Mozilla Foundation eine sicherheitsrelevante Mitteilung im Rahmen des Mozilla Foundation Security Advisory 2024-51, die eine schwerwiegende Sicherheitslücke betrifft. Die Schwachstelle (CVE-2024-9680) wurde in den Versionen Firefox 131.0.2, Firefox ESR 115.16.1 und Firefox ESR 128.3.1 behoben und betrifft sowohl den regulären Firefox-Browser als auch dessen Extended Support Release (ESR).

Die entdeckte Sicherheitslücke wird als “Use-After-Free” im Zusammenhang mit Animation timelines klassifiziert. Diese Art von Schwachstelle tritt auf, wenn ein Speicherbereich nach seiner Freigabe weiterhin genutzt wird. In diesem speziellen Fall konnte ein Angreifer durch die Schwachstelle die Kontrolle über den Inhaltsprozess erlangen und schädlichen Code ausführen. Mozilla bestätigte, dass die Lücke aktiv ausgenutzt wurde, was den kritischen Schweregrad der Sicherheitslücke verdeutlicht.

Der Sicherheitsforscher Damien Schaeffer von ESET wurde als Entdecker dieser Schwachstelle genannt, die über den Bug-Report 1923344 gemeldet wurde.

Die Einstufung der Schwachstelle als kritisch unterstreicht das hohe Risiko für Benutzer. Angreifer, die diese Sicherheitslücke ausnutzen, könnten in der Lage sein, auf dem betroffenen System beliebigen Code auszuführen und so unter anderem sensitive Informationen zu stehlen oder das System zu kompromittieren. Da die Schwachstelle bereits aktiv ausgenutzt wurde, ist es besonders wichtig, betroffene Systeme schnellstmöglich zu aktualisieren.

Nutzer von Mozilla Firefox und Firefox ESR sollten unverzüglich auf die neuesten Versionen aktualisieren, um sich vor möglichen Angriffen zu schützen. Die entsprechenden Sicherheitsupdates sind bereits verfügbar und schließen die kritische Sicherheitslücke vollständig.

Weitere Informationen finden Sie in den offiziellen Release Notes und der Bug-Dokumentation von Mozilla.