گزارش اثبات آسیب‌پذیری CVE-2026-10702

اطلاعات آسیب‌پذیری

عنوان: اجرای کد از راه دور از طریق JIT Miscompilation در موتور جاوااسکریپت SpiderMonkey مرورگر Firefox

شناسه: CVE-2026-10702

وضعیت مشاوره: Zero-Day / Patch Available / In-the-Wild Exploitation

امتیاز:  CVSS: 7.5 (High – Red Hat)

محصول: Mozilla Firefox

محصول / نسخه‌های آسیب‌پذیر

در نسخه‌های زیر:

• Mozilla Firefox برای تمامی پلتفرم ‌ها (Windows، macOS، Linux، Android)، نسخه ‌های قبل از 151.0.3
• Firefox Fenix برای اندروید، نسخه 151.0 و پایین‌ تر
• تمامی مرورگرهای مبتنی بر Gecko که از موتور SpiderMonkey استفاده می‌کنند

محیط‌های درگیر

• کلیه سازمان‌ هایی که از مرورگر Firefox در محیط‌ های کاری استفاده می‌کنند
• کاربران خانگی و سازمانی که از Firefox استفاده می‌کنند
• دستگاه‌ های اندرویدی که Firefox 151 را اجرا می‌کنند
• کاربرانی که به وب ‌سایت ‌های ناشناس یا لینک ‌های مشکوک مراجعه می‌ کنند

کامپوننت‌های آسیب‌پذیر

• موتور جاوااسکریپت SpiderMonkey (به طور خاص کامپایلر IonMonkey)
• فرآیند Type Inference در کامپایلر JIT که مسئول استنتاج نوع داده ‌ها در حین اجراست
• مکانیزم Type Guard که از نوع داده ‌ها محافظت می‌کند
• مکانیزم Bounds Check که بررسی دسترسی به حافظه در محدوده مجاز را انجام می‌دهد
• فرآیند بهینه ‌سازی MIR شامل GVN (Global Value Numbering) و BCE (Bounds-Check Elimination)
• سیستم GC (Garbage Collector) که مدیریت حافظه و چرخه عمر اشیاء را بر عهده دارد
• ماژول ‌های WebAssembly که در فرآیند بهره ‌برداری برای فراخوانی توابع سیستمی استفاده می‌شوند

ریشه مشکل (Root Cause Analysis)

ریشه این آسیب ‌پذیری یک JIT Miscompilation در موتور جاوااسکریپت SpiderMonkey مرورگر Firefox است. این مشکل مطابق با CWE-843 (Type Confusion) و CWE-733 (Compiler Optimization Removal or Modification of Security-critical Code) طبقه ‌بندی می‌شود.

در فرآیند کامپایل اجرایی (JIT)، کامپایلر IonMonkey برای بهبود عملکرد، از مکانیزم Type Inference استفاده می‌کند. این مکانیزم در حین اجرای کد، فرضیاتی در مورد نوع داده ‌ها ایجاد می‌کند و بر اساس این فرضیات، کد بهینه ‌شده تولید می‌کند. برای مثال، اگر متغیری در چندین نوبت عدد صحیح باشد، کامپایلر فرض می‌کند این متغیر همیشه عدد صحیح است و کدی تولید می‌کند که بدون بررسی نوع اضافی اجرا شود. در برخی مسیرهای اجرایی، نوع واقعی داده با فرض کامپایلر متفاوت است. مثلاً متغیری که فرض شده عدد است، در واقع یک اشاره‌گر باشد. این عدم سازگاری منجر به تولید کد بهینه ‌شده‌ای می‌شود که با نوع واقعی داده‌ها سازگار نیست.

علاوه بر Type Confusion، در فرآیند بهینه ‌سازی MIR، کامپایلر ممکن است برخی از بررسی ‌های امنیتی مانند Bounds Check و Type Guard را حذف کند. اگر این بهینه ‌سازی‌ها بر اساس فرضیات نادرست انجام شوند، می‌توانند کدهای امنیتی حیاتی را حذف کنند و آسیب ‌پذیری ایجاد شود.

در نتیجه، پس از تخصیص مجدد همان ناحیه حافظه، کد همچنان به اشاره‌گر قدیمی دسترسی پیدا می‌کند و عملیات خواندن یا نوشتن روی حافظه‌ای انجام می‌دهد که دیگر متعلق به شیء اولیه نیست. این وضعیت موجب Heap Corruption شده و مهاجم می‌تواند با طراحی یک صفحه HTML حاوی JavaScript ویژه، وضعیت حافظه را کنترل کرده و در نهایت کد دلخواه را در پردازه renderer مرورگر اجرا کند.

بر اساس کد PoC منتشرشده توسط NebuSec، مراحل بهره‌برداری به صورت زیر است:

مرحله ۱: نشت اطلاعات حافظه (Memory Leak)

await leakTypedWord(29, "prime");

const typedShape = await leakTypedWord(29, "shape");

const typedEmptySlots = await leakTypedWord(30, "slots");

مهاجم از آسیب ‌پذیری Type Confusion برای خواندن اطلاعات داخلی اشیاء TypedArray استفاده می‌کند. این اطلاعات شامل آدرس shape (ساختار شیء)، slots (شکاف‌های داده) و elements (عناصر آرایه) می‌شود. با استفاده از این اطلاعات، مهاجم می‌تواند layout حافظه اشیاء مرورگر را شناسایی کند.

مرحله ۲: ایجاد شیء جعلی (Fake Object Creation)

function installFakeTypedArrayLayout() {

setFakeWord(0, typedShape);

setFakeWord(1, typedEmptySlots);

setFakeWord(2, typedEmptyElements);

setFakeWord(6, writeTarget);

setFakeWord(8, 0x42n);

}

با استفاده از اطلاعات نشت‌یافته، مهاجم یک شیء TypedArray جعلی در حافظه ایجاد می‌کند. این شیء با کپی کردن ساختار واقعی یک TypedArray در ناحیه‌ای از حافظه که تحت کنترل مهاجم است، ساخته می‌شود. نتیجه این کار، ایجاد یک شیء قلابی است که ظاهر آن مانند یک TypedArray واقعی است اما داده‌های آن توسط مهاجم کنترل می‌شود.

مرحله ۳: ایجاد primitives دسترسی به حافظه

با استفاده از شیء جعلی، دو primitive اصلی ایجاد می‌شوند. اولین primitive، Arbitrary Address Write (AAW) است که به مهاجم امکان نوشتن دلخواه در هر آدرس حافظه را می‌دهد. دومین primitive، Arbitrary Address Read (AAR) است که به مهاجم امکان خواندن دلخواه از هر آدرس حافظه را می‌دهد. این دو primitive پایه و اساس تمام مراحل بعدی بهره‌برداری هستند.

مرحله ۴: نشت آدرس اشیاء (Addrof Primitive)

function addrof(obj) {

carrier[CARRIER_FIELDS[CARRIER_FIXED_SLOTS + ADDROF_SLOT]] = obj;

return read64(carrierSlots + 8n * BigInt(ADDROF_SLOT)) & 0xffffffffffffn;

}

مهاجم آدرس واقعی هر شیء جاوااسکریپت را در حافظه نشت می‌دهد. این کار با ذخیره اشاره‌گر شیء در یک ناحیه حافظه قابل خواندن و سپس خواندن مقدار آن انجام می‌شود. نتیجه این کار، دسترسی مهاجم به آدرس واقعی اشیاء در حافظه است.

مرحله ۵: دسترسی خواندن/نوشتن 64 بیتی (RW64)

با ترکیب تابع addrof و AAW/AAR، مهاجم می‌تواند مقادیر 64 بیتی را در هر آدرس حافظه بخواند و بنویسد. این قابلیت به مهاجم امکان دستکاری دلخواه ساختارهای داده در حافظه مرورگر را می‌دهد و پایه‌ای برای مراحل پیشرفته‌تر بهره‌برداری است.

مرحله ۶: نشت آدرس پایه کتابخانه libxul.so

const ARRAY_ISARRAY_NATIVE_OFF = 0x3075720n;

const MPROTECT_GOT_OFF = 0x8f2a0b8n;

const leakFunctionAddr = addrof(Array.isArray);

const leakFunctionNative = read64(leakFunctionAddr + 32n);

const jsBase = leakFunctionNative - ARRAY_ISARRAY_NATIVE_OFF;

مهاجم با استفاده از آدرس تابع Array.isArray (که بخشی از کتابخانه استاندارد جاوااسکریپت است)، آدرس پایه کتابخانه libxul.so را نشت می‌دهد. کتابخانه libxul.so شامل تمامی کدهای اصلی مرورگر Firefox است. پس از نشت آدرس پایه این کتابخانه، مهاجم می‌تواند آدرس هر تابع دلخواه از جمله تابع mprotect را محاسبه کند. تابع mprotect برای تغییر محافظت حافظه (از حالت غیرقابل اجرا به قابل اجرا) استفاده می‌شود. سپس آدرس mprotect از GOT (Global Offset Table) خوانده می‌شود.

مرحله ۷: اجرای shellcode با استفاده از WebAssembly

مهاجم shellcode خود را در ناحیه‌ای از حافظه قرار می‌دهد و سپس با استفاده از تابع mprotect، محافظت این ناحیه را از RW (خواندن/نوشتن) به RWX (خواندن/نوشتن/اجرا) تغییر می‌دهد. برای اجرای shellcode، مهاجم از ماژول‌های WebAssembly استفاده می‌کند. WebAssembly قابلیت اجرای کد ماشین در مرورگر را فراهم می‌کند و مهاجم با دستکاری اشاره‌گر تابع WASM، shellcode خود را فراخوانی می‌کند.

ایجاد ماژول WASM برای فراخوانی تابع  mprotect

const mprotectCaller = makeWasm(wasmCallerBytes, {env: {f: wasmFunction}}).exports.call;

const mprotectRet = mprotectCaller(shellAddr, 0x1000n, 7n);

اجرای shellcode

const shellCaller = makeWasm(wasmCallerBytes, {env: {f: wasmFunction}}).exports.call;

مرحله ۸: اجرای دستورات سیستمی

shellcode نهایی به زبان ARM64 نوشته شده و از سیستم پایپ لینوکس (pipe) برای برقراری ارتباط بین فرآیند اصلی و فرآیند فرزند استفاده می‌کند. ابتدا یک pipe ایجاد شده، سپس پردازه ی فرزند با fork() ساخته می‌شود. پردازه ی فرزند با استفاده از execve() دستور /system/bin/sh را اجرا کرده و دستورات مورد نظر مهاجم را از طریق آن اجرا می‌کند. فرآیند اصلی خروجی دستورات را از طریق pipe می‌خواند.

بخش آسیب‌پذیر

رفتار ناامن سیستم:

موتور SpiderMonkey در فایرفاکس هنگام مدیریت اشیاء TypedArray، بررسی نوع (type validation) را به درستی انجام نمی‌دهد. این نقص به مهاجم اجازه می‌دهد تا یک fake object ایجاد کند و از طریق type confusion به arbitrary read/write primitive در فضای کاربری دست یابد.

نحوه سوءاستفاده مهاجم:

• مهاجم یک صفحه HTML حاوی جاوااسکریپت مخرب ایجاد می‌کند
• قربانی با مرورگر Firefox آسیب‌پذیر از این صفحه بازدید می‌کند
• جاوااسکریپت مخرب باعث می‌شود کامپایلر JIT در فرایند Type Inference به استنباط نادرست نوع داده‌ها برسد و در نتیجه کد نادرستی تولید کند.
• Type Confusion در کامپاینر JIT فعال شده و بررسی‌های امنیتی حذف می‌شوند
• حافظه خراب شده و مهاجم primitives دسترسی به حافظه (AAW/AAR) ایجاد می‌کند
• مهاجم آدرس کتابخانه libxul.so را نشت داده و shellcode را اجرا می‌کند
• در نتیجه، مهاجم کنترل کامل renderer process و (در صورت پشتیبانی کرنل) کنترل کامل دستگاه را در اختیار می‌گیرد

نقش این آسیب‌پذیری در زنجیره حمله

این آسیب‌پذیری مرحله اول زنجیره کامل حمله IonStack است که شامل دو آسیب‌پذیری زیر است:

مرحله ۱ (مرورگر): CVE-2026-10702 در Firefox که اجرای کد در renderer process را ممکن می‌سازد

مرحله ۲ (کرنل): CVE-2026-43499 (GhostLock) در کرنل لینوکس که ارتقای دسترسی به root را فراهم می‌کند

با توجه به امتیاز CVSS 7.5 و ماهیت remote بودن آن، مهاجم می‌تواند از طریق روش‌هایی مانند Spear Phishing یا Malvertising، قربانی را هدف قرار دهد. پس از موفقیت در بهره‌برداری از این آسیب‌پذیری، مهاجم می‌تواند:

• اطلاعات حساس مانند cookies، localStorage، sessionStorage و مقادیر فرم‌ها را سرقت کند
• Session hijacking انجام دهد
• محتوای DOM را دستکاری کند
• Keylogging انجام دهد
• اطلاعات heap V8 را leak کند

برای دستیابی به دسترسی کامل سیستم، مهاجم باید این آسیب‌پذیری را با آسیب‌پذیری GhostLock ترکیب کند. با ترکیب این دو آسیب‌پذیری، مهاجم می‌تواند با یک کلیک روی لینک مخرب، کنترل کامل دستگاه اندرویدی را در اختیار بگیرد. این اولین نمونه عمومی حمله browser-to-kernel در Android 17 است.

پیش‌نیازهای بهره‌برداری (Prerequisites)

• استفاده از نسخه آسیب‌پذیر Firefox (قبل از 151.0.3)
• بازدید کاربر از صفحه HTML مخرب
• فعال بودن JavaScript مرورگر
• عدم نصب وصله امنیتی

رفتار مورد انتظار در حالت امن (Expected Secure Behavior)

• کامپایلر JIT باید فرضیات نوع داده را به درستی اعتبارسنجی کند
• مکانیزم Type Guard باید از اجرای کد با نوع نادرست جلوگیری کند
• بررسی‌های مرزی (Bounds Check) نباید توسط بهینه‌ساز حذف شوند
• در صورت تشخیص عدم سازگاری نوع، مرورگر باید به صورت ایمن Crash کند بدون اینکه اجازه اجرای کد مخرب را بدهد
• محیط امنیتی مرورگر (Sandbox) باید از فرار کد جلوگیری کند
• Site Isolation باید فعال باشد تا تأثیر exploit به یک سایت محدود شود
• اصل Fail Secure، هرگونه تلاش برای دسترسی به حافظه آزاد شده باید منجر به پایان ایمن پردازش شود
• پیاده‌سازی Memory Safe Patterns و استفاده از ابزارهای تشخیصی مانند AddressSanitizer در فرآیند توسعه

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

اقدامات فوری برای کاهش ریسک:

• به ‌روزرسانی Firefox به نسخه ‌های پچ ‌شده
• اعمال وصله‌های امنیتی Mozilla (mfsa2026-54)
• به‌روزرسانی Firefox Fenix در اندروید از طریق Google Play Store
• محدودسازی دسترسی کاربران به وب‌ سایت ‌های ناشناس

اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:

• فعال‌ سازی به ‌روزرسانی خودکار مرورگر
• پیاده‌ سازی و تقویت راهکارهای EDR (Endpoint Detection and Response) برای شناسایی رفتارهای مشکوک مرتبط با بهره ‌برداری از مرورگر
• آموزش کاربران در خصوص خطرات باز کردن لینک‌ های ناشناس و دانلود فایل‌ های غیرقابل اعتماد
• استفاده از ابزارهای ad-blocking و anti-malvertising برای کاهش سطح حمله از طریق تبلیغات مخرب
• اجرای راهکارهای Web Filtering برای مسدودسازی وب ‌سایت ‌های مخرب شناخته ‌شده
• غیرفعال کردن جاوااسکریپت برای وب ‌سایت‌ های ناشناس

اقدامات بلندمدت برای کاهش ریسک:

• تدوین و اجرای سیاست ” به‌روزرسانی خودکار مرورگر ” (Automated Browser Update) برای تمام سیستم ‌های سازمان
• پیاده ‌سازی Application Control برای محدود کردن اجرای برنامه ‌های ناشناس
• استقرار سیستم ‌های تشخیص نفوذ مبتنی بر هاست ( HIDS ) برای پایش تغییرات غیرعادی در پردازه های مرورگر
• آموزش تیم ‌های عملیاتی در خصوص خطرات آسیب ‌پذیری ‌های مرورگر و نحوه شناسایی و پاسخ به آن‌ها
• پیاده ‌سازی فرآیندهای منظم تست نفوذ (Penetration Testing) و ارزیابی امنیتی برای کشف زودهنگام آسیب ‌پذیری ‌های مشابه در زیرساخت

تشخیص و مانیتورینگ (Detection & Monitoring)

نشانه‌های تلاش برای سوءاستفاده:

• Crash مکرر فرآیند renderer با خطاهای مرتبط با JIT یا Type Confusion
• پیام‌های خطای مرتبط با عدم سازگاری نوع داده
• فعالیت غیرعادی در الگوهای پردازش جاوااسکریپت
• تلاش برای دسترسی به حافظه خارج از محدوده مجاز
• ارتباطات شبکه مشکوک پس از بازدید از صفحات وب خاص
• تغییرات غیرمنتظره در ساختار حافظه مرورگر
• اجرای پردازه های غیرمنتظره توسط Firefox

    منابع پیشنهادی برای مانیتورینگ و پایش:

• لاگ ‌های crash مرورگر
• سیستم ‌های SIEM برای جمع ‌آوری و تحلیل مرکزی لاگ‌ ها
• راهکارهای EDR (Endpoint Detection and Response) مانند CrowdStrike، SentinelOne، یا Microsoft Defender for Endpoint
• ابزارهای مانیتورینگ شبکه برای شناسایی درخواست‌ های مشکوک به دامنه‌ های غیرمعمول
• راهکارهای IPS/IDS با امضاهای اختصاصی
• CISA Known Exploited Vulnerabilities Catalog
• اسکنرهای آسیب ‌پذیری برای شناسایی نسخه ‌های مرورگر قدیمی
• Browser Telemetry Logs

واکنش به حادثه (Incident Response)

• ایزوله ‌سازی فوری، سیستم آسیب ‌دیده را از شبکه جدا کنید تا از حرکت جانبی مهاجم جلوگیری شود
• جمع ‌آوری و حفظ لاگ ‌های crash مرورگر، لاگ ‌های شبکه برای تحلیل فارنزیک (Forensics)
• بررسی وجود فایل ‌های مخرب یا تغییرات غیرمجاز در سیستم
• بازنشانی تمام رمزهای عبور کاربران، توکن‌های session، و هر گونه اعتبار دسترسی
• نصب فوری وصله امنیتی و به‌روزرسانی فوری مرورگر
• بررسی یکپارچگی فایل‌ های سیستمی و شناسایی باینری‌های غیرمجاز
• اسکن کامل سایر سیستم ‌های شبکه برای شناسایی علائم مشابه یا دسترسی مهاجم به آن‌ ها
• مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)

جریان حمله (Attack Flow)

در نمودار زیر (شکل ۱)، مهاجم یک صفحه HTML مخرب ایجاد می‌کند که حاوی کد JavaScript برای سوءاستفاده از SpiderMonkey است. قربانی صفحه مخرب را در Firefox 151 باز می‌کند. کد مخرب با heap spraying، آدرس‌های shape و slots را leak می‌کند. مهاجم یک fake object با ساختار کنترل‌شده ایجاد می‌کند. مهاجم از طریق type confusion به arbitrary read/write primitive (addrof, read64, write64) دست می‌یابد. مهاجم با استفاده از WASM، shellcode دلخواه را در حافظه تزریق می‌کند. مهاجم با mprotect() مجوزهای حافظه را به RWX تغییر می‌دهد. shellcode در context فرآیند فایرفاکس اجرا می‌شود.

شکل 1: جریان اجرای آسیب پذیری

اثبات مفهوم (PoC) — کاملاً غیرمخرب

آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است

• این آزمایشگاه شامل نسخه آسیب‌پذیر Firefox 151 (fenix-151.0.multi.android-arm64-v8a.apk) است
• اجرای مرورگر در محیط آزمایشگاهی
• اجرای PoC از آدرس rootme.nebusec.io/b9e3f1a4-7c82-4d6e-9a51-2f8c4b3e0d17
• مشاهده Crash و ریستارت شدن دستگاه
• اجرای PoC در محیط آزمایشگاهی منجر به crash و ریستارت شدن دستگاه در سامانه آسیب‌پذیر شد
• این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود

شکل 2: اجرای POC

رفع مسئولیت

این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.

منابع

https://www.cve.org/CVERecord?id=CVE-2026-10702

https://nvd.nist.gov/vuln/detail/CVE-2026-10702

https://www.mozilla.org/en-US/security/advisories/mfsa2026-54/#CVE-2026-10702

https://bugzilla.mozilla.org/show_bug.cgi?id=2040903

https://github.com/NebuSec/CyberMeowfia/tree/main/IonStack/CVE-2026-10702

https://rootme.nebusec.io/

https://nebusec.ai/research/ionstack-part-2/

https://cwe.mitre.org/data/definitions/843.html

https://cwe.mitre.org/data/definitions/733.html