Firefox 154 / ESR 140.14 : 4 use-after-free CVSS 9.8 — Thunderbird aussi

Mozilla a publié le 18 août 2026 un lot de correctifs couvrant quatre use-after-free classées CVSS 9.8, réparties sur quatre composants distincts du moteur : WebAssembly, le rendu de texte, la bibliothèque d'images, et le cœur du DOM.

L'aspect le plus négligé de ce lot n'est pas Firefox : c'est Thunderbird. Les quatre CVE l'affectent également, parce qu'il partage le moteur de rendu de Firefox — et un client de messagerie qui affiche du HTML fourni par un tiers présente un profil de risque nettement différent de celui d'un navigateur, où l'utilisateur choisit les pages qu'il visite.

Les versions corrigées : Firefox 154, ESR 153.1, ESR 140.14, ESR 115.39, et Thunderbird 154 / 153.1 / 140.14.

Les quatre CVE

Vecteur commun : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Toutes sont des use-after-free : un objet est libéré alors qu'un pointeur vers lui reste actif. Si un attaquant contrôle ce qui est réalloué à cet emplacement, il oriente l'exécution du programme. C'est la classe de bug la plus exploitée dans les navigateurs, précisément parce qu'elle se prête bien aux techniques de manipulation du tas depuis du JavaScript.

Une remarque sur le score

Le vecteur NVD indique UI:N — aucune interaction utilisateur. C'est surprenant pour des failles situées dans un moteur de rendu : en pratique, l'exploitation suppose que le contenu malveillant soit chargé, donc qu'une page soit visitée ou qu'un message soit affiché. C'est ce choix de notation qui porte le score à 9.8 plutôt qu'aux ~8.8 habituels des CVE navigateur.

L'écart n'a aucune conséquence sur la conduite à tenir — mettre à jour — mais il vaut d'être connu si tu tries ton backlog par score : ces quatre CVE vont remonter au-dessus de CVE navigateur comparables simplement à cause d'une différence de notation.

Pourquoi Thunderbird change la nature du risque

Firefox et Thunderbird partagent Gecko. Les quatre CVE sont donc corrigées dans les deux produits — mais leur exploitabilité n'est pas la même.

Dans un navigateur, l'utilisateur décide où il va. Dans un client de messagerie, le contenu arrive tout seul. Deux des quatre CVE sont particulièrement concernées :

• CVE-2026-74943 (Graphics: ImageLib) — le décodage d'images. Un courriel contenant une image piégée déclenche le code vulnérable dès l'affichage du message.
• CVE-2026-74940 (Graphics: Text) — le rendu de texte, donc de polices. Même logique.

Selon la configuration du volet de visualisation et le chargement des contenus distants, la surface se rapproche de l'exposition sans clic : il suffit que le message soit rendu. C'est la raison pour laquelle un correctif Thunderbird ne doit pas être traité comme moins urgent qu'un correctif Firefox — c'est souvent l'inverse.

Recommandation concrète pour Thunderbird, indépendante de ces CVE :

Paramètres → Vie privée et sécurité
  → décocher « Autoriser le contenu distant dans les messages »

Ça ne corrige pas les failles, mais ça réduit fortement ce qui est décodé automatiquement à la réception.

Produits et versions

Deux des quatre CVE ne remontent pas jusqu'à ESR 115. Cette branche reste maintenue pour les systèmes d'exploitation anciens (versions de Windows et macOS sorties du support principal) et on la trouve encore dans des parcs contraints par du matériel ou des applications métier. Si tu l'exploites, 115.39 te couvre pour deux des quatre — mais la vraie question est de savoir combien de temps encore tu resteras sur une branche en fin de vie.

Vérifier la version installée :

about:support

Ou en ligne de commande sur un parc Linux :

firefox --version
thunderbird --version

Sur Windows, pour un inventaire à distance :

Get-Item "C:\Program Files\Mozilla Firefox\firefox.exe" |
  Select-Object @{N='Version';E={$_.VersionInfo.ProductVersion}}

Exploitation et impact

Ce qu'obtient un attaquant

Une use-after-free exploitée dans le processus de contenu donne d'abord une exécution de code dans le renderer, qui est sandboxé. Ce n'est pas la fin de la chaîne, mais c'est déjà substantiel :

• Lecture du contenu de l'onglet compromis, y compris les données saisies
• Vol des cookies et jetons de session accessibles à cette origine
• Accès au stockage local du site

Pour aller plus loin, l'attaquant doit chaîner avec une évasion de sandbox — un schéma que nous avons documenté récemment dans un autre navigateur, où une use-after-free dans Chrome permettait précisément de franchir cette barrière depuis un renderer déjà compromis. C'est le modèle standard des chaînes d'exploitation navigateur : une primitive mémoire dans le contenu, puis une évasion.

Sur Thunderbird

Le calcul change, parce que le vecteur d'entrée est un courriel. Un attaquant n'a pas besoin d'amener la victime sur un site : il lui envoie un message. Dans un contexte d'attaque ciblée, c'est nettement plus fiable qu'une campagne de phishing avec lien, et ça ne laisse pas la trace d'une visite sur une infrastructure attaquante.

Détection

Il n'y a pas d'IOC utile côté client pour une use-after-free — l'exploitation ne laisse pas de signature dans les journaux du navigateur. Le contrôle utile est donc l'inventaire, pas la détection :

# Windows — recenser les versions Firefox et Thunderbird du parc
Get-CimInstance -ClassName Win32_Product |
  Where-Object { $_.Name -like "*Firefox*" -or $_.Name -like "*Thunderbird*" } |
  Select-Object Name, Version

Côté réseau, les signaux post-exploitation restent classiques :

• Trafic sortant depuis le processus navigateur vers des destinations non liées à la navigation
• Sessions valides réutilisées depuis une IP ou un agent inhabituel (visible côté serveur applicatif, pas côté client)
• Extensions apparues sans action de l'utilisateur

Mitigation

1. Mettre à jour, et vérifier que c'est effectif

Firefox se met à jour automatiquement, mais le correctif ne s'applique qu'après redémarrage du navigateur. C'est le point de fuite classique en entreprise : des postes restent des semaines sur une version vulnérable parce que personne ne ferme jamais son navigateur.

Sur un parc géré, force le redémarrage plutôt que de compter sur la bonne volonté :

# GPO Firefox
Configuration ordinateur → Modèles d'administration → Mozilla → Firefox
  → « Nombre de jours avant redémarrage forcé après mise à jour »

2. Ne pas oublier Thunderbird dans le déploiement

Thunderbird est régulièrement absent des politiques de mise à jour parce qu'il n'est pas perçu comme exposé. Vu ce qui précède, il devrait être traité au même niveau de priorité que Firefox, sinon supérieur.

3. Réduire le contenu décodé automatiquement

Désactiver le chargement des contenus distants dans Thunderbird, et si ton contexte le permet, la lecture au format texte brut pour les expéditeurs externes.

4. Vérifier les branches ESR encore en service

Si une partie de ton parc tourne sur ESR 115, profite de ce lot pour poser la question de la sortie de cette branche. Deux des quatre CVE d'aujourd'hui ne la concernent pas, ce qui est une bonne nouvelle ponctuelle — mais une branche en fin de vie finit toujours par recevoir un correctif de moins que les autres.

Pourquoi surveiller en continu vos navigateurs et clients de messagerie

Firefox et Thunderbird reçoivent plusieurs CVE critiques par mois, et la fenêtre entre la divulgation et l'apparition d'un exploit se compte en jours pour cette classe de bug. Le problème n'est pas de connaître la CVE — Mozilla communique clairement — mais de savoir quelles versions tournent réellement sur ton parc à l'instant où le correctif sort. Sans cet inventaire, la question « suis-je exposé ? » demande une enquête de plusieurs jours, pendant lesquels la réponse est probablement oui.

Avec cveo.tech, inventorie les navigateurs et clients de messagerie déployés sur ton parc et reçois une alerte automatique dès qu'une CVE critique cible une de tes versions exactes — pour déclencher la campagne de mise à jour le jour de la publication, pas trois semaines après.