CVE-2026-74939 — Firefox content→parent विशेषाधिकार वृद्धि

Firefox 149.0a1 nightly (2fbc0748c4, प्री-फिक्स) में सैंडबॉक्स एस्केप के लिए प्रूफ ऑफ कॉन्सेप्ट। एक समझौता किया गया content process एक IPDL message गढ़ता है जो parent को एक विशेषाधिकार प्राप्त (privilegedabout) process में पेज लोड करने के लिए बाध्य करता है।

यह stage-2 सैंडबॉक्स एस्केप है, जिसे content-process RCE (जैसे CVE-2026-2796) के बाद श्रृंखला में जोड़ने के लिए डिज़ाइन किया गया है।

बग (Mozilla bug 2054416)

Parent process content→parent IPDL messages से एक nsDocShellLoadState deserialize करता है। कमजोर build, content द्वारा सेट किए गए RemoteTypeOverride फ़ील्ड को अस्वीकार नहीं करता, इसलिए content चुन सकता है कि नेविगेशन किस process type में जाए।

फिक्स (commit 3ec5c71b41bb, "Validate RemoteTypeOverride") nsDocShellLoadState ctor को content-ट्रिगर किए गए लोड पर किसी भी override को अस्वीकार करने के लिए बाध्य करता है।

जब override को मान्य किया जाता है — about:blank का document load, top-level context — IsolationOptionsForNavigation लोड के remote type को override value पर सेट करता है, और पेज को privileged process में रखा जाता है। सैंडबॉक्स सीमा का उल्लंघन हुआ।

एक्सप्लॉइट अवलोकन

Override, PNecko::PDocumentChannel पर सवार होता है — यह एक message है जिसे हर content process प्रत्येक document load के लिए भेजता है (DocumentChannelCreationArgs.loadState एक nsDocShellLoadState है)।

डिलीवरी दिलचस्प हिस्सा है: IPC socket पर raw writes चुपचाप ड्रॉप कर दिए जाते हैं, क्योंकि IPDL messages अब mojo ports पर सवार होते हैं। इसके बजाय, PoC JavaScript से native calls के माध्यम से वास्तविक send path चलाता है (CVE-2026-2796 funcref primitive का उपयोग करके):

1. operator new — IPC::Message के लिए heap block आवंटित करें
2. IPC::Message::Message(routing, type, capacity, flags) — placement ctor
3. Pickle::WriteBytes — गढ़े गए payload को जोड़ें
4. MessageChannel::Send PContent channel पर — mojo framing, port routing, और sequence numbers सभी native रूप से संभाले जाते हैं

Payload (forge.py द्वारा निर्मित) में RemoteTypeOverride = "privilegedabout", URI about:blank, एक null principal, और runtime-लीक किए गए मान (BrowsingContext id, TriggeringRemoteType) होते हैं।

फ़ाइलें

चलाएँ

./irun

सत्यापन

Parent-side लॉग्स (MOZ_LOG=ProcessIsolation:5,DocumentChannel:5) privileged process में प्रक्रिया स्विच दिखाते हैं:

V/ProcessIsolation using remote type override (privilegedabout) for load
I/ProcessIsolation Process Switch: Changing Remoteness from 'webIsolated=http://127.0.0.1' to 'privilegedabout'

संदर्भ

• Mozilla bug 2054416 — फिक्स commit 3ec5c71b41bb "Validate RemoteTypeOverride"
• Stage-1 content RCE: CVE-2026-2796