Mozilla stopft kritische Sicherheitslöcher in Firefox

Mozilla hat ein außerplanmäßiges Sicherheitsupdate für Firefox veröffentlicht. Es beseitigt zwei Anfälligkeit in Firefox 138. Bewertet sind die beiden Schwachstellen mit dem höchsten Schweregrad „kritisch“. Angreifer können unter Umständen aus der Ferne Schadcode einschleusen und innerhalb der Sandbox von Firefox ausführen.

Entdeckt wurden beide Fehler von externen Sicherheitsforschern, die sie während des Hackerwettbewerbs Pwn2Own Berlin 2025 Ende vergangener Woche präsentierten. Für beide Bugs zahlte der Veranstalter den Entdeckern eine Prämie von jeweils 50.000 Dollar.

In einer Sicherheitswarnung beschreibt Mozilla beide Sicherheitslücken als Out-of-Bounds-Speicherfehler. Laut Zero Day Initiative können beide Bugs mit bestimmten JavaScript-Objekten ausgenutzt werden. Während zwei Forscher von Palo Alto Networks über den ersten Fehler den Windows-Editor starteten, öffnete der Forscher Manfred Paul mit seinem Exploit den Windows-Taschenrechner.

Nutzer sollten nun möglichst zeitnah auf Firefox 138.0.4 umsteigen. Das Update steht für Windows, macOS und Linux zum Download bereit. Über den Punkt „Über Firefox“ im Hilfe-Menü des Browser kann die Aktualisierung auch manuell angestoßen werden. Zum Abschluss der Installation ist ein Neustart des Browsers erforderlich.