CVE-2026-2796 + CVE-2026-2768 — Escape the Wasm Box

Firefox のフルチェーン悪用研究: レンダラープロセスでのコード実行のための WebAssembly 型混乱 (type confusion) を、サンドボックスエスケープのための親プロセスバグへ連鎖させる。いずれのバグも Firefox 148 (MFSA-2026-13) で修正済み。ここでのターゲットは、両方の修正に先行する Firefox 148-nightly ツリー @ 2fbc0748c4 (2026-01-14)。

CVE-2026-2796 (Bug 2013165): SpiderMonkey の WebAssembly import 最適化における JIT 誤コンパイル / シグネチャ型混乱。
CVE-2026-2768 (Bug 2014101): サンドボックスエスケープ — 検証されていない IPC データが 親プロセス の IndexedDB コードで領域外書き込み (out-of-bounds write) を引き起こす。

チェーン構成

page loads crafted wasm module
        │
CVE-2026-2796: Function.prototype.call.bind unwrap skips signature check
        │  → i64 ↔ (ref $t) confusion → addrOf/fakeobj
        │  → fake WasmArrayObject → arbitrary R/W in the CONTENT process
        │  → forged WasmFuncRef → hijack call target ([funcref+0x38])
        ▼
native code exec INSIDE the sandboxed content process  (sbLevel 3)
        │  (sandbox blocks exec/fork — need a parent bug)
        ▼
CVE-2026-2768: forge IndexedDB add/put IPC with out-of-range
        mAutoIncrementKeyOffsets (ParamTraits<Key> validates nothing)
        │  → parent writes 8 bytes at attacker-controlled offset
        ▼
memory corruption in the UNSANDBOXED parent process = full escape

Demo

Where

Result

poc/shell/poc-crash.js

js shell

funcref としてデリファレンスされた 0xDEADBEEF → 0xdeadbf2f で SIGSEGV

poc/shell/poc-addrof.js

js shell

任意 R/W のセルフテストが成功

poc/shell/poc-forge.js

js shell

PC 制御: 仕込んだカナリアでクラッシュ

poc/shell/poc-rce.js

js shell

system("id > /tmp/CVE-2026-2796-PWNED; open -a Calculator") — ファイルに uid=501(sid) ... が含まれ、Calculator が起動する

poc/browser/stage1-browser.html

Nightly (sbLevel 3 content)

サンドボックス化されたタブ内で任意 R/W。偽造した funcref が 0x4141414141414141 へジャンプ → タブはクラッシュするが親プロセスは生存

poc/browser/stage1-browser-cmd.html

Nightly (sbLevel 3 content)

XUL ベースをリークし、posix_spawnp (0x187xxxxx) を解決して /bin/sh -c "touch /tmp/PWNED-FROM-CONTENT" で呼び出す → macOS サンドボックスが exec を拒否: ファイルは作成されず、ページにも影響なし — コンテンツ RCE だけではコマンド実行にならないことの証明

poc/browser/sandbox-proof.html

Nightly (sbLevel 3 content)

サンドボックスルール内でのネイティブ実行: getpid() がタブの実 PID を返し (ps と一致)、生の libc write(1, ...) がブラウザのターミナルログに出力される — fork/exec なし、ファイルオープンなし

poc/browser/fd3-proof.html

Nightly (sbLevel 3 content)

fd 3 (親プロセスの IPDL ソケット) に生の 32 バイトを書き込む: 親プロセスの IPC パーサーが攻撃者製バイトを消費し (Message needs unreceived descriptors ... num_handles:33)、メッセージを破棄してタブを強制終了する ("Exiting due to channel error") — ステージ 2 が整形式だが悪意ある IndexedDB メッセージで兵器化するトランスポートプリミティブ

poc/browser/stage2-trigger.html

Nightly

親プロセスのバグ経路への純 JS での到達可能性 (オートインクリメントインデックスキー [1,2,3,4])

CVE-2026-2796-and-CVE-2026-2768-escape-the-wasm-box

人気

実証内容

脆弱なターゲットのビルド

オフセット (macOS arm64)

範囲 / 正直な制限

参考

免責事項