sneakynachos/cve-2026-74939-escape-the-mac-n-cheese-boxEscalation dei privilegi IPDL da contenuto a processo padre in Firefox (N-day, bug 2054416): PDocumentChannel contraffatto con RemoteTypeOverride -> posizionamento del processo about privilegiato, tramite iniezione del percorso di invio mojo-port da un processo di contenuto compromesso.
Prova di concetto per un'evasione dalla sandbox nella nightly Firefox 149.0a1 (2fbc0748c4, pre-fix). Un processo content compromesso falsifica un messaggio IPDL che fa sì che il parent carichi una pagina in un processo privilegiato (privilegedabout).
Questo è l'escape dalla sandbox di stage 2, progettato per essere concatenato dopo una RCE nel processo content (es. CVE-2026-2796).
Il processo parent deserializza un nsDocShellLoadState dai messaggi IPDL content→parent. La build vulnerabile non rifiuta un campo RemoteTypeOverride impostato da content, quindi content può scegliere in quale tipo di processo finisce una navigazione.
La correzione (commit 3ec5c71b41bb, "Validate RemoteTypeOverride") fa sì che il costruttore di nsDocShellLoadState rifiuti qualsiasi override su un caricamento avviato da content.
Quando l'override viene onorato — caricamento del documento di about:blank, contesto di livello superiore — IsolationOptionsForNavigation imposta il remote type del caricamento al valore dell'override e la pagina viene collocata in un processo privilegiato. Vincolo della sandbox violato.
L'override viaggia su PNecko::PDocumentChannel, un messaggio che ogni processo content invia per ogni caricamento di documento (DocumentChannelCreationArgs.loadState è un nsDocShellLoadState).
La consegna è la parte interessante: le scritture grezze sul socket IPC vengono silenziosamente scartate, perché i messaggi IPDL ora viaggiano su mojo ports. Invece, la PoC guida il vero percorso di invio da JavaScript tramite chiamate native (usando la primitiva funcref di CVE-2026-2796):
operator new — alloca un blocco di heap per il IPC::MessageIPC::Message::Message(routing, type, capacity, flags) — costruttore placementPickle::WriteBytes — aggiunge il payload falsificatoMessageChannel::Send sul canale PContent — framing mojo, routing delle porte e numeri di sequenza sono tutti gestiti nativamenteIl payload (costruito da forge.py) contiene RemoteTypeOverride = "privilegedabout", URI about:blank, un principal nullo e valori leakati a runtime (BrowsingContext id, TriggeringRemoteType).
./irun
Log lato parent (MOZ_LOG=ProcessIsolation:5,DocumentChannel:5) mostrano il cambio di processo verso il processo privilegiato:
V/ProcessIsolation using remote type override (privilegedabout) for load
I/ProcessIsolation Process Switch: Changing Remoteness from 'webIsolated=http://127.0.0.1' to 'privilegedabout'
3ec5c71b41bb "Validate RemoteTypeOverride"| File | Scopo |
|---|
privesc.html | pagina PoC, eseguita all'interno del processo content compromesso |
forge.py / forge.json | costruisce il messaggio IPDL falsificato (auto-verificante) |
wasm-bytes.js | primitive stage-1: R/W arbitrario, chiamate funcref |
mdrive.py / mdrive2.py | harness marionette per avviare e guidare Nightly |
irun | esecuzione strumentata: attach di lldb al parent + evidenze MOZ_LOG |
profile.user.js | preferenze del profilo Firefox (fission attivo, dump abilitato) |
parse_dc.py | parser byte-esatto per i messaggi DocumentChannel catturati |
scan_sentinels.py / extract_fields.py | scanner di mappe di campi per le catture |