CVE-2026-74939 — Firefox コンテンツ→親プロセス権限昇格

Firefox 149.0a1 nightly（2fbc0748c4、修正前）におけるサンドボックスエスケープの概念実証です。侵害されたコンテンツプロセスが IPDL メッセージを偽装し、親プロセスに特権（privilegedabout）プロセスへページをロードさせます。

これはステージ 2 のサンドボックスエスケープであり、コンテンツプロセス RCE（例: CVE-2026-2796）の後に連鎖させることを意図しています。

バグ（Mozilla バグ 2054416）

親プロセスは、コンテンツ→親 IPDL メッセージから nsDocShellLoadState をデシリアライズします。脆弱なビルドは、コンテンツが設定した RemoteTypeOverride フィールドを拒否しないため、コンテンツはナビゲーションがどのプロセスタイプに配置されるかを選択できます。

修正（コミット 3ec5c71b41bb、"Validate RemoteTypeOverride"）により、nsDocShellLoadState コンストラクタはコンテンツトリガーのロードに対するオーバーライドをすべて拒否します。

オーバーライドが尊重されると — about:blank のドキュメントロード、トップレベルコンテキスト — IsolationOptionsForNavigation はロードのリモートタイプをオーバーライド値に設定し、ページは特権プロセスに配置されます。サンドボックス境界が侵害されます。

エクスプロイト概要

オーバーライドは PNecko::PDocumentChannel に乗ります。これはすべてのコンテンツプロセスが各ドキュメントロード時に送信するメッセージです（DocumentChannelCreationArgs.loadState は nsDocShellLoadState です）。

配信が興味深い部分です: IPC ソケットへの生の書き込みは静かにドロップされます。なぜなら IPDL メッセージは現在 mojo ポート 上で運ばれるからです。その代わりに、PoC は CVE-2026-2796 の funcref プリミティブを使用したネイティブ呼び出しを介して JavaScript から実際の送信パスを駆動します:

1. operator new — IPC::Message 用のヒープブロックを割り当て
2. IPC::Message::Message(routing, type, capacity, flags) — 配置コンストラクタ
3. Pickle::WriteBytes — 偽造ペイロードを追加
4. PContent チャネル上の MessageChannel::Send — mojo フレーミング、ポートルーティング、シーケンス番号はすべてネイティブで処理

ペイロード（forge.py によって構築）は、RemoteTypeOverride = "privilegedabout"、URI about:blank、null プリンシパル、およびランタイムリークされた値（BrowsingContext id、TriggeringRemoteType）を運びます。

ファイル

実行

./irun

検証

親側のログ（MOZ_LOG=ProcessIsolation:5,DocumentChannel:5）は、特権プロセスへのプロセス切り替えを示します:

V/ProcessIsolation using remote type override (privilegedabout) for load
I/ProcessIsolation Process Switch: Changing Remoteness from 'webIsolated=http://127.0.0.1' to 'privilegedabout'

参照

• Mozilla バグ 2054416 — 修正コミット 3ec5c71b41bb "Validate RemoteTypeOverride"
• ステージ 1 コンテンツ RCE: CVE-2026-2796