Mozilla Firefox: Use-After-Free (CVE-2024-9680)

Was ist betroffen, was ist zu tun

Dieses Sicherheitsleck ermöglicht eine Remote-Code-Ausführung (RCE) durch einen Use-After-Free-Fehler in den Animation Timelines von Mozilla Firefox und Thunderbird. Ein Angreifer kann ohne Authentifizierung Code im Inhaltsprozess ausführen, was zu vollständiger Kontrolle über das betroffene System führt. Die Schwachstelle wird aktiv in Ransomware-Kampagnen ausgenutzt. Betroffen sind Versionen von Firefox vor 131.0.2, Firefox ESR vor 128.3.1 und Thunderbird vor 131.0.1. Ein sofortiges Update auf die neueste Version ist dringend erforderlich.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Mozilla Firefox auf Version 131.0.2, Mozilla Firefox ESR auf Version 128.3.1, Mozilla Firefox ESR auf Version 115.16.1. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Mozilla Firefox lt *..131.0.2
• Mozilla Firefox ESR lt *..128.3.1
• Mozilla Firefox ESR lt *..115.16.1
• Mozilla Thunderbird lt *..131.0.1
• Mozilla Thunderbird lt *..128.3.1
• Mozilla Thunderbird lt *..115.16.0

Behoben in

• Mozilla Firefox 131.0.2
• Mozilla Firefox ESR 128.3.1
• Mozilla Firefox ESR 115.16.1
• Mozilla Thunderbird 131.0.1
• Mozilla Thunderbird 128.3.1
• Mozilla Thunderbird 115.16.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Firefox und Firefox ESR sofort aktualisieren: Firefox auf 131.0.2 oder neuer, Firefox ESR 128.x auf 128.3.1 oder neuer, Firefox ESR 115.x auf 115.16.1 oder neuer. Verteilung über Softwareverteilung (Intune, SCCM, Ansible) erzwingen und nicht auf das Auto-Update warten. Anschließend den Browser-Neustart auf allen Endgeräten erzwingen, denn der Patch wirkt erst nach dem Neustart des Prozesses.
   • Thunderbird gleichzeitig aktualisieren: Thunderbird auf 131.0.1, 128.3.1 oder 115.16.0 oder neuer bringen. Mailclients werden in Patchzyklen häufig übersehen.
   • Linux-Systeme patchen: Debian- und andere Distributionspakete (firefox-esr, thunderbird) über die Security-Repositories einspielen. Die fixierte Paketversion bitte im jeweiligen Distribution-Security-Advisory (z. B. DSA) nachschlagen. Terminalserver, VDI- und Jump-Hosts haben Vorrang.
   • Inventur offener Bestände: Per EDR- oder Software-Inventar alle Installationen unterhalb der genannten Versionen ermitteln. Dazu gehören auch portable Installationen in %LOCALAPPDATA% bzw. $HOME, die die zentrale Verteilung umgehen.
   • Ungepatchte Hosts eindämmen: Systeme, die nicht innerhalb von 24 h aktualisiert werden können, temporär auf einen alternativen, gepatchten Browser umstellen. Alternativ Firefox per AppLocker/WDAC blockieren oder den Internetzugang über Proxy-Policy auf eine Allowlist beschränken.
   • Kompromittierung prüfen: Hosts mit verwundbarer Version und auffälligen Kindprozessen (siehe Detection-Regeln) isolieren. Die Credentials der angemeldeten Benutzer zurücksetzen, inklusive gespeicherter Browser-Passwörter und Session-Tokens.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Konfigurationsmanagement: Mit Firefox Enterprise Policies (policies.json bzw. GPO-ADMX) Auto-Updates erzwingen (DisableAppUpdate: false, AppAutoUpdate: true) und manuelles Downgrade verhindern. Die Betriebsart „ESR“ verlangt eigene Patch-SLAs, die eng überwacht werden müssen.
   • Endpunkt-Härtung: AppLocker/WDAC-Regeln setzen, die die Ausführung aus benutzerbeschreibbaren Pfaden (%TEMP%, %APPDATA%, Downloads) unterbinden. Microsoft Defender ASR-Regeln aktivieren: „Block executable files unless they meet prevalence, age or trusted list criterion“ und „Block process creations originating from PSExec and WMI commands“. Diese Regeln verhindern keine Ausnutzung im Content-Prozess, erschweren aber die Nachladephase deutlich.
   • Least Privilege: Keine lokalen Administratorrechte für Standardbenutzer vergeben. Ein Sandbox-Ausbruch nach erfolgreicher Codeausführung im Content-Prozess wird dadurch aufwendiger, und die laterale Bewegung wird begrenzt.
   • Netzwerk-/Webfilter: Den Secure Web Gateway bzw. DNS-Filter so konfigurieren, dass neu registrierte Domains, Uncategorized-Kategorien und bekannte Malvertising-Netze geblockt werden. Die Ausnutzung erfolgt typischerweise über präparierte Webseiten (Drive-by).
   • Thunderbird-Härtung: Per Policy die Darstellung von Mails als Reintext erzwingen (mailnews.display.html_as = 1) und das Laden entfernter Inhalte deaktiviert lassen (mailnews.message_display.disable_remote_image = true). Zusätzlich sicherstellen, dass JavaScript in Mails deaktiviert bleibt (javascript.allow.mailnews = false).
   • Segmentierung: Administrative Arbeitsplätze (PAW) und OT-nahe Systeme dürfen keine allgemeinen Webbrowser mit Internetzugang nutzen. Für KRITIS-Umgebungen gilt das als Mindestanforderung.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • EDR-Prozessabstammung (Windows): Ein Firefox- oder Thunderbird-Content-Prozess (Kommandozeile enthält -contentproc) startet eine Shell oder ein LOLBin. KQL: DeviceProcessEvents | where InitiatingProcessFileName in~ ("firefox.exe","thunderbird.exe") and FileName in~ ("cmd.exe","powershell.exe","rundll32.exe","regsvr32.exe","mshta.exe","wscript.exe","cscript.exe")
   • Sysmon EID 1 / EID 11: Achten auf Prozess- oder Dateierstellung durch firefox.exe, insbesondere .exe-, .dll- und .lnk-Dateien in %TEMP% oder %APPDATA%, die nicht aus dem Download-Manager stammen. Ergänzend Sysmon EID 7 nutzen, um unsignierte DLLs zu erkennen, die in Firefox-Prozesse geladen werden. Sigma-Form: ParentImage|endswith: '\firefox.exe' AND Image|endswith: ['\cmd.exe','\powershell.exe','\rundll32.exe']
   • Linux auditd: execve-Ereignisse mit ppid eines Firefox- oder Thunderbird-Prozesses und exe in /bin/sh, /bin/bash, /usr/bin/curl oder /usr/bin/wget überwachen. Regel: -a always,exit -F arch=b64 -S execve -F key=browser_child, danach im SIEM nach dem Elternprozess korrelieren.
   • Proxy-/Web-Logs: Den User-Agent auf verwundbare Versionen auswerten, um Restbestände zu finden. SPL-Beispiel: index=proxy http_user_agent="*Firefox/1[0-3][0-9].*" | rex field=http_user_agent "Firefox/(?<ver>[\d\.]+)" | stats dc(src_ip) by ver. Danach mit der Liste der Fix-Versionen abgleichen.
   • Netzwerk-Telemetrie (Zeek/Suricata): Ausgehende Verbindungen eines Browser-Hosts zu neu registrierten oder seltenen Domains, unmittelbar gefolgt von einem Prozessstart (EDR-Korrelation innerhalb von 60 s), deuten auf eine Drive-by-Kette mit Payload-Nachladung hin.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Angreifer konnte die Ausführung von Code im Inhaltsprozess erreichen, indem er eine Verwendung nach Freigabe in Animation Timelines ausnutzte. Es gab Berichte über die Ausnutzung dieser Schwachstelle in der Praxis. Diese Schwachstelle betrifft Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1 und Thunderbird < 115.16.0.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: Debian Security Advisories, pwn.watch, CISA KEV Catalog, cvelistv5, NVD (NIST), CVE.org (MITRE), CSA/SingCERT

Hersteller und Produkte

• Debian Debian Linux
• Debian Firefox-esr
• Debian Thunderbird
• Mozilla Mozilla Firefox
• Mozilla Firefox Esr
• Mozilla Mozilla Thunderbird

Quellen & Referenzen

• bugzilla.mozilla.orgshow_bug.cgi?id=1923344
• Microsoft Security Update GuideWindows sandbox escape detected with the in-the-wild exploit
• mozilla.orgsecurity/advisories/mfsa2024-51
• mozilla.orgsecurity/advisories/mfsa2024-52
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9680government-resource
• bugs.freebsd.orgbugzilla/show_bug.cgi?id=281992
• lists.debian.orgdebian-lts-announce/2024/10/msg00005.html
• lists.debian.orgdebian-lts-announce/2024/10/msg00006.html
• pwn.watchpwn.watch: Mozilla Firefox Use-After-Freepwn-watch
• mozilla.orgMozilla advisory: CVE-2024-9680pwn-watch
• NVD (NIST)NVD: CVE-2024-9680pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch