Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-416

CVE-2022-26486

Mozilla Firefox, Thunderbird ve Focus WebGPU IPC bileşeninde use-after-free açığı

Mozilla FirefoxMozilla Firefox ESRMozilla Firefox for Android

Kritik 9,6 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1406 gün
Kaydı açan
mozilla
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 7 Mar 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 21 Mar 2022.

Yönetici özeti

Bu açık, çalışanların kullandığı web tarayıcısı ve e-posta istemcisi üzerinden gerçek saldırılarda aktif olarak kullanılıyor. Başarılı bir saldırı bilgisayardaki verilerin ele geçirilmesine veya cihazın kontrolün kaybedilmesine yol açabilir. İlgili Mozilla ürünlerinin vakit kaybetmeden güncellenmesi gerekir.

ÖzetTürkçe

Mozilla ürünlerindeki WebGPU IPC çerçevesi beklenmeyen bir mesajı işlerken use-after-free (serbest bırakılmış belleğin kullanımı) hatasına yol açıyor. Bu hata istismar edilerek korumalı alandan (sandbox) kaçış sağlanabiliyor. Etkilenen sürümler: Firefox 97.0.2 öncesi, Firefox ESR 91.6.1 öncesi, Firefox for Android 97.3.0 öncesi, Thunderbird 91.6.2 öncesi ve Focus 97.3.0 öncesi. Açığın gerçek saldırılarda kullanıldığına dair raporlar var ve CISA KEV kataloğunda yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, kullanıcıyı özel hazırlanmış içeriği açmaya yönlendirerek tarayıcının sandbox korumasını aşabilir. Bu durumda gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etkiyle sistemde kod çalıştırabilir.

Kaynaktaki açıklama (İngilizce)

An unexpected message in the WebGPU IPC framework could lead to a use-after-free and exploitable sandbox escape. We have had reports of attacks in the wild abusing this flaw. This vulnerability affects Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2, and Focus < 97.3.0.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Firefox'u 97.0.2 veya üzeri bir sürüme güncelleyin. Üretici
  2. Firefox ESR kullanıyorsanız 91.6.1 veya üzeri, Thunderbird kullanıyorsanız 91.6.2 veya üzeri sürüme geçin. Üretici
  3. Android için Firefox ve Focus uygulamalarını 97.3.0 veya üzeri sürüme güncelleyin. Üretici
  4. Üretici talimatlarına göre güncellemeleri uygulayın. CISA
  5. Güncelleme hemen yapılamıyorsa etkilenen sürümlerle güvenilmeyen web sitelerine ve şüpheli e-posta içeriklerine erişimi kısıtlayın. Genel öneri

Ek önlemler

  • Kurumdaki tüm uç noktalarda Firefox, Thunderbird ve Focus sürümlerini envanterden kontrol ederek eski sürümleri tespit edin. Genel öneri
  • Tarayıcı ve e-posta istemcisi için otomatik güncellemeleri etkin tutun. Genel öneri
  • Kullanıcıları şüpheli bağlantılara tıklamama ve bilinmeyen kaynaklardan gelen içerikleri açmama konusunda uyarın. Genel öneri
  • Etkilenen sürümleri kullanmış sistemlerde olağandışı süreç veya ağ etkinliği olup olmadığını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler5 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Mozilla Firefox < 97.0.2 97.0.2
Mozilla Firefox ESR < 91.6.1 91.6.1
Mozilla Firefox for Android < 97.3.0 97.3.0
Mozilla Focus < 97.3.0 97.3.0
Mozilla Thunderbird < 91.6.2 91.6.2

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.