🔴 【深度分析】严重安全漏洞：CVE-2026-16359

CVSS 评分: 严重（9.1）🔴　　状态: Analyzed　　发布时间: 2026-07-21

🔍 技术细节速览

字段 值
CVE ID CVE-2026-16359
CVSS 评分 9.1 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE 分类 CWE-119
发布时间 2026-07-21
最后更新 2026-07-24
状态 Analyzed
数据来源 security@mozilla.org

⚠️ CVSS 3.1 评分：9.1（严重）
攻击向量：AV:N（网络）| 攻击复杂度：AC:L（低）| 权限要求：PR:N（无）| 用户交互：UI:N（不需要）
影响：机密性(C:H) 完整性(I:H) 可用性(A:N)
危害等级：严重 — 可远程、无前置条件地导致敏感信息泄露与数据篡改

漏洞概述

CVE-2026-16359 是 Mozilla 产品套件中 Audio/Video 组件（具体为 GMP，即 Gecko Media Plugin）存在的一处边界条件错误漏洞。攻击者可在无需任何用户交互或身份认证的情况下，通过精心构造的媒体数据远程触发越界内存操作，直接突破浏览器的沙箱/隔离机制，造成高机密性泄露（可读取进程内存中的敏感数据）与高完整性破坏（可写入任意内存地址，进而执行代码或篡改数据）。由于该漏洞无需用户交互且攻击复杂度低，属于“一键式”攻击向量，实际威胁极高。

该漏洞在 2026 年 7 月的安全更新中得到修复，影响 Firefox、Firefox ESR 及 Thunderbird 的多条稳定分支。

受影响组件与版本

受影响组件 受影响版本
Firefox 低于 153 的所有版本
Firefox ESR（长期支持版） 低于 115.38 的 115.x 系列；低于 140.13 的 140.x 系列
Thunderbird 低于 153 的所有版本
Thunderbird ESR（长期支持版） 低于 115.38 的 115.x 系列；低于 140.13 的 140.x 系列

注意：本漏洞影响的是 Mozilla 自研的 GMP（Gecko Media Plugin）组件，该组件负责音频/视频解码的硬件加速与沙箱隔离。所有以 GMP 为基础的媒体处理功能均受影响，包括 WebRTC、HTML5 <video>/<audio> 播放等。

漏洞原理分析

1. 漏洞本质：边界条件错误（CWE-119）

根据 CVE 描述及 CWE-119（内存缓冲区边界操作不当）分类，此漏洞属于不正确的边界检查，发生在 GMP 组件处理特制媒体流的过程中。GMP 在解码线程中负责分配缓冲区以存放解压后的音频/视频帧数据，当输入媒体数据包含精心构造的元数据（如帧大小、偏移量或采样率）时，GMP 未能正确验证边界条件，导致：

  • 越界读取：后续渲染或拷贝操作使用了超出实际分配长度的索引，从而读取相邻内存区域，泄露页面数据、用户凭据或其他敏感信息。
  • 越界写入：在写入帧数据时，由于长度校验缺失，攻击者可向缓冲区末尾之后的内存写入可控数据，进而覆盖函数指针、返回地址或关键对象属性，最终实现任意代码执行。

2. 攻击向量分析（结合 CVSS 向量）

  • AV:N / AC:L — 攻击者可通过网络远程发送或诱导用户访问包含恶意媒体内容的页面（如 HLS/DASH 流、WebM/MP4 文件），无需本地接触。
  • PR:N / UI:N — 不需要任何特殊权限或用户点击交互（如“播放”按钮可能自动触发预加载解码）。甚至浏览器在后台静默解析媒体元数据时即可触发漏洞。
  • 影响：C:H / I:H / A:N — 攻击者可以读取任意进程内存（泄露秘密）、写入任意数据（破坏完整性）；但因漏洞本身不直接导致拒绝服务，可用性未受影响。不过写入恶意数据后可能间接导致崩溃。

3. 攻击场景示例

  1. 攻击者构造一个畸形的 WebM 或 MP4 文件，其中视频轨道头中的 FrameSize 字段标注为远大于实际数据量的值。
  2. 当 Firefox 通过 GMP 调用系统视频解码器（如 VA-API / DXVA ）时，GMP 分配一个较小缓冲区用于接收解码后的帧，但由于边界检查不严，解码器向该缓冲区写入超出其容量的数据。
  3. 越界写入覆盖了 GMP 沙箱进程内其他关键数据结构，攻击者可通过精心布置的 payload 实现沙箱逃逸或权限提升。

影响评估

评估维度 详细描述
攻击复杂度 低 — 利用条件仅需构造一个畸形的媒体文件，无需绕过 ASLR/DEP 等主流防护
所需权限 无 — 完全匿名远程攻击
用户交互 无需 — 浏览器自动解析媒体资源即可触发
触发前提 受害者访问包含恶意媒体的页面（或被重定向到此类页面）
潜在后果 ① 敏感信息泄露（Cookie、本地存储、内存密钥）
② 任意代码执行（远程控制）
影响范围 所有使用受影响 GMP 版本的火狐及雷鸟用户，数以亿计

综合风险等级：严重。由于无需交互且影响机密性与完整性，此漏洞已被 Mozilla 标记为安全更新中的优先级最高（P0），建议立即升级。

修复建议

1. 官方补丁版本

立即升级到以下已修复版本（2026-07-21 发布）：

  • Firefox 153 或更高版本
  • Firefox ESR 115.38 / 140.13 或更高版本
  • Thunderbird 153 或更高版本
  • Thunderbird ESR 115.38 / 140.13 或更高版本

可通过浏览器“关于”页面自动检查更新，或从 Mozilla 官网下载。

2. 临时缓解措施（在无法立即升级时）

  • 禁用媒体自动播放：在 about:config 中设置 media.autoplay.enabled = false，减少非用户主动触发的媒体解码。
  • 限制 GMP 沙箱权限：如果使用企业策略，可临时禁止非必要媒体格式的解码（如禁用 WebM/VP9 解码器），但可能影响正常功能。
  • 使用安全浏览器隔离：将 Firefox 或 Thunderbird 放入虚拟化环境（如 Docker、Sandboxie），降低越界写入导致的沙箱逃逸成功概率。

⚠️ 注意：上述缓解措施不能完全消除风险，最有效的方式是立即应用官方补丁。

参考资料

来源 链接
NVD 官方页面 https://nvd.nist.gov/vuln/detail/CVE-2026-16359
CWE-119 说明 https://cwe.mitre.org/data/definitions/119.html
Mozilla 安全公告 （预计发布地址：https://www.mozilla.org/security/advisories/mfsa2026-XX/）
Mozilla 发布说明 https://www.mozilla.org/en-US/firefox/153/releasenotes/

最后更新：2026-07-21
撰写者：资深网络安全分析师