Firefox 158 sulgeb kümneid turvaauke — mitu neist pääses liivakastist

Mozilla avaldas 13. oktoobril 2026 Firefox 158 turvateate, milles on üle 70 parandatud turvanõrkuse. Nende seas on kõrge mõjuga õiguste tõstmise ja vabastatud mälu kasutamise vead ning mitu liivakastist väljumist võimaldavat viga. Varasema tavalise Firefoxi kasutajal tuleb brauser uuendada vähemalt versioonile 158; ESR-i ja Thunderbirdi parandused on nende eraldi väljalaskeharudes.

Mozilla turvateadete koondloend näitab, et 20. oktoobril ilmusid 13. oktoobri väljalasetele lisaks Firefox 158.0.1, Firefox ESR 153.5.1 ja 115.43.1 ning Thunderbird 158.0.1 ja 153.5.1. Need on algsele turvaväljalaskele järgnenud punktversioonid, mistõttu tuleb praeguse uuenduse valikul eristada algset paranduse piiri ja oma haru uusimat saadaolevat versiooni.

Millised Firefox 158 vead paistavad loendist välja

Liivakastist väljumise võimalus on kirjas mitmes eri komponendi veas. Võrgukomponendi CVE-2026-109705 hõlmab korraga liivakastist väljumist, saitide eraldamise piirtingimuste viga ja vabastatud mälu kasutamist. Sama komponendi CVE-2026-109707 puhul on põhjuseks vabastatud mälu kasutamine, CVE-2026-109708 puhul aga vale piirtingimuste kontroll. Kõigi nende mõju on hinnatud kõrgeks.

Graafikakomponendi CVE-2026-109712 seob liivakastist väljumise lähtestamata mäluga ning kuulub samuti kõrge mõjuga kirjete hulka. Mõõduka mõjuga liivakastivigu leidub Windowsi kasutajaliidese osas, veebipõhise jadapordi funktsioonis, sisuprotsessides ja võrgukomponendis. Ühine vealiik ei tähista ühtainsat tehnilist põhjust: osa kirjeid puudutab mälu olekut, osa protsesside piire või ajastusest sõltuvat võistlusolukorda.

Õiguste tõstmise puhul väärib eraldi tähelepanu CVE-2026-109704 rakenduse uuendamise komponendis. Protsesside liivakastiga seotud CVE-2026-109709 ühendab õiguste tõstmise võimaluse teabe avalikustamisega. Need kirjed näitavad, et parandused puudutavad ka brauseri uuendamist ja protsesside turvapiiride haldamist.

Vabastatud mälu kasutamise vead esinevad lisaks võrgule näiteks IndexedDB salvestuses, graafikas, DOM-i osades ja JavaScriptiga seotud komponentides. Selline viga tekib siis, kui programm viitab mälule pärast selle vabastamist; tagajärg sõltub konkreetsest kooditeest ja ründaja kontrollist. CVE-de arvule aitab kaasa avaldamisviisi muutus: sisemiselt leitud mäluohutuse vigu ei koondata enam ühe tunnuse alla, vaid iga vea jaoks avaldatakse oma kirje.

Kõrge mõjuga kirjed ei piirdu nende näidetega. JavaScripti mootori ja WebAssemblyga seotud paranduste seas on vale piirtingimuste kontrolli ning JIT-kompileerimise vigu, veebilehe DOM-i osades aga vabastatud mälu kasutamise juhtumeid. Sama väljalase parandab nii veebisisu töötlemisel tekkivaid mäluprobleeme kui ka brauseri enda turvapiiridega seotud nõrkusi. Ühe CVE tõsidust ei saa siiski laiendada automaatselt kõigile samas komponendis loetletud vigadele.

Miks liivakastist väljumine on tähtis

Brauseri liivakast piirab veebisisu töötleva protsessi võimalusi mõjutada ülejäänud programmi ja seadet. Kui viga võimaldab sellest piirist väljuda, võib veebilehelt algava ründe mõju ulatuda kaugemale protsessist, mille sisse see pidi jääma. Liivakastiviga on seetõttu oluline ka siis, kui ründaja vajaks selle ärakasutamiseks veel mõnd teist nõrkust.

Võrgukomponendi CVE-2026-109705 puhul on koos nimetatud nii liivakastist väljumine kui ka saitide eraldamise probleem. Saitide eraldamine ja protsessi liivakast täidavad erinevaid ülesandeid: esimene aitab hoida eri veebilehtede andmed lahus, teine piirab protsessi õigusi. Kui sama kirje puudutab mõlemat piiri, on selle praktiline tähendus laiem kui üksik mälurike, kuid avalik kirjeldus ei määra kindlat ründeahelat ega selle õnnestumise tõenäosust.

Mõjuhinnang „kõrge” kirjeldab võimalikku tagajärge, mitte kinnitatud rünnakute arvu. Avalikus teates ei ole kinnitust, et neid Firefox 158-ga parandatud nõrkusi kasutataks aktiivselt ära. Uuendamise põhjus on parandatud vigade olemasolu varasemas versioonis ja kaitsepiiride tähtsus.

Millised versioonid on parandatud

Kanada küberkeskuse 16. oktoobri hoiatus nimetab 13. oktoobri turvaparanduste piiriks tavalise Firefoxi 158, Firefox ESR-i harudes 153.5 ja 115.43 ning Thunderbirdi harudes 158 ja 153.5 ning soovitab vajalikud uuendused paigaldada. Need numbrid käivad eri toodete ja harude kohta; ühe programmi uuendamine ei muuda teise paigaldatud versiooni.

• Tavaline Firefox: algsed parandused on versioonis 158; 20. oktoobri seisuga on saadaval ka 158.0.1.
• Firefox ESR uuemas harus: parandatud piir on 153.5 ja hilisem punktversioon 153.5.1.
• Firefox ESR vanemas harus: parandatud piir on 115.43 ja hilisem punktversioon 115.43.1.
• Thunderbirdi tavaline haru: parandatud piir on 158 ja hilisem punktversioon 158.0.1.
• Thunderbirdi ESR-i haru: parandatud piir on 153.5 ja hilisem punktversioon 153.5.1.

ESR-i kasutaja saab oktoobri algse turvapaketi oma harus ega pea selleks üle minema tavalise Firefoxi väljalaskesarja. Halduses on määrav paigaldatud toote nimi koos haruga: ainult arv 158 või 153.5 ei ütle, kas tegemist on brauseri või meilikliendiga. Kui seadmes on mõlemad programmid, tuleb nende paigaldatud versioone käsitleda eraldi.

Punktversioonid lisavad varasematele parandustele hilisemaid turvamuudatusi, kuid 13. oktoobri vigade puhul jääb algseks parandatud piiriks iga haru samal päeval avaldatud versioon. Uuendamist edasi lükates püsivad vanemas väljalaskes nii mäluga seotud nõrkused kui ka kirjeldatud protsessipiiride vead. Praegune siht on paigaldada kasutusel oleva Firefoxi, ESR-i või Thunderbirdi haru viimane välja antud punktversioon.

Loe ka:

• Brave või Firefox: vaikekaitse ei lahenda kogu privaatsusvalikut