Une faille du compilateur JIT de Firefox, corrigée par Mozilla dans la version 151.0.3, permettait d'exécuter du code arbitraire dans le navigateur après le simple chargement d'une page piégée. La société Nebula Security, à l'origine de la découverte, a construit une chaîne d'attaque complète visant aussi Tor Browser et un terminal Android, puis en a publié le code d'exploitation et l'analyse.
Référencée CVE-2026-10702, la vulnérabilité touche le moteur JavaScript de Firefox et affectait toutes les moutues du navigateur comprises entre les versions 147 et la 151.0.2. Tor Browser, qui embarque une partie du code de Mozilla, se trouvait également exposé.
Un défaut de conception dans l'optimisation du moteur JavaScript
Le compilateur JIT (Just in Time) de Firefox transforme à la volée le code JavaScript le plus sollicité en instructions machine. Cela permet d'accélérer l'exécution des pages web. Pour aller plus vite, ce compilateur trie les instructions du code en deux familles : celles qui se contentent de consulter une donnée en mémoire, et celles qui peuvent la modifier. Une instruction précise a été mal classée. Elle a été rangée dans la première catégorie, alors qu'elle pouvait aussi réorganiser la mémoire d'un objet et supprimer son ancien emplacement. Le navigateur continuait alors d'utiliser cet ancien emplacement comme s'il existait toujours, ce qui ouvrait une faille pouvant être exploitée.
Cette confusion permet de manipuler la mémoire du navigateur sans interaction au-delà de l'ouverture de la page. Nebula a démontré comment récupérer l'espace mémoire libéré, en extraire un pointeur vers sa classe interne, construire un faux objet, puis corrompre un tableau Uint8Array pour obtenir un accès arbitraire en lecture et en écriture. Son PDG, Eten Zou, précise qu'aucun réglage particulier n'est nécessaire pour déclencher la faille. À elle seule, cette étape reste cantonnée au processus de rendu de Firefox, protégé par un bac à sable (sandbox).
Mais l'entreprise a poussé la démonstration plus loin en assemblant une chaîne baptisée IonStack. Celle-ci associe cette faille à une seconde vulnérabilité du noyau Linux, référencée CVE-2026-43499 et surnommée GhostLock. Or, sur un appareil ARM64 sous Android 17, cette combinaison permet de sortir du bac à sable pour obtenir les droits root du système. Interrogé par Hacker News, Zou indique que la faiblesse du bac à sable d'Android facilite l'exploitation, tout en estimant qu'un bac à sable plus robuste sur ordinateur n'empêcherait pas l'attaque. La mise à jour de Firefox bloque l'accès initial, mais ne corrige pas la faille du noyau Linux.
À ce jour, le hack n'a pas été exploité, mais puisque la démo de l'exploit est disponible, alors mieux vaut s'assurer d'avoir mis à jour Firefox et/ou Tor Browser.
