CVE-2025-8028

چکیده

آسیب‌پذیری بحرانی در موتور WebAssembly (WASM) مرورگرهای Firefox و Thunderbird روی معماری arm64 شناسایی شده است. زمانی که دستور br_table تعداد بسیار زیادی ورودی داشته باشد، فاصله زیاد بین ورودی‌ها و برچسب مقصد باعث کوتاه‌سازی و محاسبه نادرست آدرس شاخه (branch address truncation) می‌شود. این خطا در محاسبه آدرس، جریان کنترل برنامه را مختل کرده و می‌تواند منجر به بروز عملکردهای غیرمنتظره شود.

توضیحات

آسیب‌پذیری CVE-2025-8028 یک ضعف بحرانی در موتور WebAssembly (WASM) مرورگرهای Firefox و Thunderbird روی معماری arm64 است. WebAssembly یک فرمت باینری سطح پایین است که برای اجرای سریع و امن کد در مرورگر طراحی شده و برنامه‌ها را تقریباً با سرعت اجرای بومی (native) اجرا می‌کند. معماری arm64 نیز معماری پردازنده‌های 64 بیتی ARM است که در دستگاه‌های موبایل، مینی‌کامپیوترها و برخی سیستم‌های دسکتاپ جدید استفاده می‌شود.

این ضعف در زمانی رخ می‌دهد که دستور WASM با نام br_table که برای شاخه چندمسیره (Multi-way branch) بر اساس مقدار ورودی استفاده می‌شود، شامل تعداد بسیار زیادی ورودی باشد. در این حالت، فاصله زیاد بین ورودی‌ها و برچسب‌های مقصد می‌تواند باعث کوتاه‌سازی (truncation) آدرس و محاسبه نادرست آدرس شاخه (incorrect branch address computation) شود. به بیان ساده، موتور WASM هنگام پرش به مقصد درست، آدرس را اشتباه محاسبه می‌کند و جریان اجرای برنامه به مسیر غیرمنتظره منتقل می‌شود.

این اختلال در جریان کنترل برنامه می‌تواند باعث عملکردهای پیش‌بینی‌نشده، از جمله اجرای غیرقانونی بخش‌هایی از کد، دور زدن محدودیت‌های امنیتی مرورگر و حتی فراهم شدن زمینه برای اجرای کد دلخواه شود. چنین مسائلی در محیط‌های پیچیده WASM اهمیت بیشتری دارد، زیرا WebAssembly معمولاً برای پردازش‌های سنگین، بازی‌ها، ابزارهای رمزنگاری، ماشین‌های مجازی داخل مرورگر و برنامه‌های حساس استفاده می‌شود. این آسیب پذیری در نسخه های جدید Firefox و Thunderbirdپچ شده است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Firefox را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری بحرانی در موتور WebAssembly (WASM) که روی تمامی دستگاه‌های arm64 اجرا می‌شود، زمانی رخ می‌دهد که دستور br_table دارای تعداد بسیار زیادی ورودی باشد. در این حالت، فاصله زیاد بین ورودی‌ها و برچسب مقصد باعث کوتاه‌سازی و محاسبه نادرست آدرس شاخه می‌شود. با توجه به شدت قابل توجه آسیب پذیری و انتشار پچ رسمی، اجرای فوری اقدامات زیرضروری است:

• به‌روزرسانی فوری مرورگر: Firefox و Thunderbird را به آخرین نسخه پایدار ارتقا دهید و به‌روزرسانی خودکار (Automatic Updates) را فعال کنید. این اقدام مؤثرترین و قطعی‌ترین روش برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل دارند و به کاهش ریسک این ضعف و مقابله با حملات مشابه کمک می‌کنند.
• غیرفعال‌سازی موقت WebAssembly در محیط‌های حساس: در محیط‌های حساس و سازمانی که از دستگاه‌های arm64 استفاده می‌کنند، تا زمان نصب کامل به‌روزرسانی، می‌توان WebAssembly (WASM) را موقتاً با تغییر تنظیمات about:config → javascript.options.wasm به false غیرفعال کرد. توجه داشته باشید که با این کار، برخی وب‌سایت‌های مدرن ممکن است درست نمایش داده نشوند یا عملکردشان محدود شود.
• اجرای سیاست‌های گروهی و مدیریت مرکزی: در سازمان‌ها، می‌توان به‌روزرسانی اجباری Firefox/ESR را اعمال کرد تا همه کاربران آخرین نسخه امن را استفاده کنند و ریسک بهره‌برداری کاهش یابد.
• محدودسازی اجرای افزونه‌ها و سایت‌های ناشناس: افزونه‌های غیرضروری را حذف کرده و سیاست‌های امنیتی محتوا (CSP) سخت‌گیرانه اعمال کنید تا از اجرای کد مخرب جلوگیری شود.
• مانیتورینگ و تشخیص عملکرد غیرعادی: از سیستم‌های EDR/XDR برای مانیتورینگ فرآیندهای exe و thunderbird.exe استفاده کنید و برای فعالیت‌های غیرعادی مانند مصرف بالای CPU یا ایجاد فایل‌های مشکوک، هشدار تنظیم کنید.

اجرای این اقدامات، به‌ویژه به‌روزرسانی مرورگر، محدودسازی WASM و کنترل افزونه‌ها، ریسک ناشی از این آسیب‌پذیری را به حداقل رسانده و سطح امنیت سیستم و شبکه را به شکل قابل توجهی افزایش می‌دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

ورودی کاملاً از طریق اینترنت اتفاق می‌افتد: یک صفحه وب یا ماژول WebAssembly دست‌کاری‌شده که موتور WASM را مجبور می‌کند br_table معیوب را پردازش کند. این نقطه ورودی بدون نیاز به تعامل اضافه، سطح حمله را باز می‌کند و اجرای مسیر غیرمنتظره را در مرورگر شروع می‌کند.

Execution (TA0002)

خطای کنترل جریان ناشی از br_table می‌تواند به memory corruption و ایجاد primitiveهای اجرای کد در سطح پردازش مرورگر منجر شود. این بخش، نقطه‌ای است که RCE رخ می‌دهد و کاملاً با داده عمومی سازگار است.

Privilege Escalation (TA0004)

در صورت موفقیت در ساختن primitiveهای پایدار، مهاجم می‌تواند از sandbox WASM خارج شود و به سطح اجرای کد در فرآیند اصلی مرورگر برسد. این مسیر در آسیب‌پذیری‌های WASM مشابه دیده شده و سناریوی قابل اتکا محسوب می‌شود.

Defense Evasion (TA0005)

ورودی WASM از نظر ساختاری معتبر به‌نظر می‌رسد، بنابراین موتور مرورگر آن را پردازش می‌کند و بسیاری از EDRها نیز رفتار غیرعادی را تشخیص نمی‌دهند؛ چون payload در قالب باینری استاندارد WASM پنهان شده است.

Impact (TA0040)

تسلط بر پردازش مرورگر می‌تواند به کرش پایدار، اجرای کد ماندگار در سطح مرورگر، تزریق backdoor یا کنترل کامل context تب فعال بینجامد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-8028
2. https://www.cvedetails.com/cve/CVE-2025-8028/
3. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-8028
4. https://vuldb.com/?id.317357
5. https://vuldb.com/?id.317356
6. https://www.mozilla.org/security/advisories/mfsa2025-56/
7. https://www.mozilla.org/security/advisories/mfsa2025-57/
8. https://www.mozilla.org/security/advisories/mfsa2025-58/
9. https://www.mozilla.org/security/advisories/mfsa2025-59/
10. https://www.mozilla.org/security/advisories/mfsa2025-61/
11. https://www.mozilla.org/security/advisories/mfsa2025-62/
12. https://www.mozilla.org/security/advisories/mfsa2025-63/
13. https://lists.debian.org/debian-lts-announce/2025/07/msg00016.html
14. https://cwe.mitre.org/data/definitions/1332.html