CVE-2026-74939 — повышение привилегий content→parent в Firefox

PoC-эксплойт для побега из песочницы в Firefox 149.0a1 nightly (2fbc0748c4, до исправления). Скомпрометированный content-процесс подделывает IPDL-сообщение, из-за чего parent-процесс загружает страницу в привилегированный (privilegedabout) процесс.

Это побег из песочницы второго этапа, предназначенный для использования после RCE в content-процессе (например, CVE-2026-2796).

Баг (Mozilla bug 2054416)

Parent-процесс десериализует nsDocShellLoadState из IPDL-сообщений content→parent. Уязвимая сборка не отклоняет поле RemoteTypeOverride, устанавливаемое content-процессом, поэтому content может выбирать, в процессе какого типа окажется навигация.

Исправление (коммит 3ec5c71b41bb, «Validate RemoteTypeOverride») заставляет конструктор nsDocShellLoadState отклонять любое переопределение при загрузке, инициированной content-процессом.

Когда переопределение учитывается — загрузка документа about:blank, верхний уровень контекста — IsolationOptionsForNavigation устанавливает тип удалённой загрузки в значение переопределения, и страница попадает в привилегированный процесс. Граница песочницы нарушена.

Обзор эксплойта

Переопределение передаётся через PNecko::PDocumentChannel — сообщение, которое каждый content-процесс отправляет при каждой загрузке документа (DocumentChannelCreationArgs.loadState — это nsDocShellLoadState).

Доставка — самая интересная часть: прямая запись в IPC-сокет молча отбрасывается, поскольку IPDL-сообщения теперь передаются через mojo-порты. Вместо этого PoC управляет реальным путём отправки из JavaScript через нативные вызовы (используя примитив funcref из CVE-2026-2796):

1. operator new — выделение блока кучи под IPC::Message
2. IPC::Message::Message(routing, type, capacity, flags) — placement-конструктор
3. Pickle::WriteBytes — добавление поддельной полезной нагрузки
4. MessageChannel::Send на PContent-канале — mojo-обрамление, маршрутизация портов и порядковые номера обрабатываются нативно

Полезная нагрузка (создаётся forge.py) содержит RemoteTypeOverride = "privilegedabout", URI about:blank, нулевой (null) principal и значения, утёкшие из рантайма (id BrowsingContext, TriggeringRemoteType).

Файлы

Запуск

./irun

Проверка

Логи parent-процесса (MOZ_LOG=ProcessIsolation:5,DocumentChannel:5) показывают переключение процесса в привилегированный процесс:

V/ProcessIsolation using remote type override (privilegedabout) for load
I/ProcessIsolation Process Switch: Changing Remoteness from 'webIsolated=http://127.0.0.1' to 'privilegedabout'

Ссылки

• Mozilla bug 2054416 — коммит с исправлением 3ec5c71b41bb «Validate RemoteTypeOverride»
• RCE в content-процессе первого этапа: CVE-2026-2796