Sicherheitslücke in Firefox 136.0.4 behoben

Version 136.0.4, erstmals am 27. März 2025 für Nutzer des Release Channels angeboten.

Behoben
Mozilla Foundation Sicherheitshinweis 2025-19
Sicherheitslücke behoben in Firefox 136.0.4, Firefox ESR 128.8.1, Firefox ESR 115.21.1
Angekündigt : März 27, 2025
Auswirkungen : Kritisch
Produkte : Firefox, Firefox ESR
Behoben in : Firefox 136.0.4
Firefox ESR 115.21.1
Firefox ESR 128.8.1

CVE-2025-2857: Falsches Handle kann zu Sandbox-Escape führen
Reporter: Andrew McCreight
Auswirkung: Kritisch
Beschreibung
Nach dem kürzlichen Ausbruch aus der Chrome-Sandbox (CVE-2025-2783) haben verschiedene Firefox-Entwickler ein ähnliches Muster in unserem IPC-Code entdeckt. Ein kompromittierter Kindprozess könnte den Elternprozess dazu veranlassen, ein ungewollt mächtiges Handle zurückzugeben, was zu einem Sandbox-Ausbruch führt.
Die ursprüngliche Schwachstelle wurde bereits in freier Wildbahn ausgenutzt.
Dies betrifft nur Firefox unter Windows. Andere Betriebssysteme sind nicht betroffen.