Firefox 151.0.3 schließt JIT-Exploit-Kette IonStack

Mozilla hat das außerplanmäßige Update Firefox 151.0.3 veröffentlicht, das die hochgradig kritische Schwachstelle CVE-2026-10702 im JIT-Compiler des Browsers behebt. Der Fehler betrifft die stabilen Firefox-Versionen 147 bis 151.0.2 und ermöglicht die Ausführung beliebigen Codes im Render-Prozess bereits beim bloßen Besuch einer bösartigen Webseite – ohne jegliche weitere Benutzerinteraktion. Die Situation verschärft, dass das Forschungsunternehmen Nebula Security bereits einen funktionsfähigen Exploit veröffentlicht hat, auch wenn mit Stand 28. Juli 2026 noch keine bestätigten Fälle einer Ausnutzung in realen Angriffen festgestellt wurden.

Technische Hintergründe der Schwachstelle

Die Ursache des Problems liegt laut dem technischen Analysebericht von Nebula Security in der Operation MObjectToIterator, wenn sie mit dem Flag skipRegistration = true ausgeführt wird. Der JIT-Compiler von Firefox übersetzt häufig ausgeführten JavaScript-Code in nativen Maschinencode und muss für eine korrekte Ausführung nachverfolgen, welche Operationen den Speicher verändern können.

Firefox stufte diese Operation fälschlicherweise als reine Leseoperation ein, obwohl die Auflösung einer „lazy“ Property eines Objekts zur Allokation eines neuen dynamischen Slot-Puffers und zur Freigabe des alten führen kann. Die Optimierung der globalen Wertnummerierung (Global Value Numbering) bewertete daraufhin das erneute Laden des Zeigers auf den Slot-Puffer als redundant und verwendete einen zuvor erhaltenen Zeiger wieder – nachdem dieser bereits von der Laufzeitumgebung ungültig gemacht worden war. Das Resultat ist eine klassische use-after-free-Situation.

Der verwundbare Code wurde im Rahmen von Bug 1995077 eingeführt und tauchte erstmals in Firefox 147 auf. Die Analyse des Quellcodes bestätigt: Die fehlerhafte Neudefinition der Alias-Behandlung ist in Firefox 151.0.2 vorhanden und fehlt in Firefox 151.0.3.

Betroffene und nicht betroffene Versionen

• Betroffen: Firefox 147–151.0.2 (stabile Releases)
• Behoben in: Firefox 151.0.3
• Nicht betroffen: Firefox ESR 140.12 – der verwundbare Code fehlt im Quellcode des ESR-Zweigs; Mozilla erwähnt ESR im Security Advisory nicht

Der Code-Fix entfernt die spezielle Behandlung von „read-only“-Aliasen aus ObjectToIterator und korrigiert die dazugehörige Iterator-Operation, wodurch verhindert wird, dass der Optimierer einen veralteten Zeiger speichert.

Öffentlicher Exploit und IonStack-Kette

Nebula Security nutzte CVE-2026-10702 als erste Stufe einer Exploit-Kette namens IonStack, die auf ein ARM64-Gerät mit Android 17 abzielt. Der veröffentlichte Exploit fängt die freigegebene Allokation ab, extrahiert einen Zeiger auf die hidden class, erstellt ein gefälschtes Objekt und korrumpiert eine Uint8Array, um beliebige Lese- und Schreibzugriffe auf den Speicher zu erhalten. Unter Android ändert der Code anschließend die Speicherzugriffsrechte und leitet den Entry Point einer WebAssembly-Funktion auf ARM64-Shellcode um.

Nach Angaben der Forscher enthält der veröffentlichte Code Offsets für Firefox 151.0 auf einem bestimmten ARM64-Build von Android 17, die Browser-Schwachstelle selbst ist jedoch nicht an die ARM-Architektur gebunden. Nebula Security charakterisierte den Ausnutzungspfad auf x86 als stabiler, obwohl die vollständige Kette für diese Architektur bislang noch nicht fertiggestellt ist.

Die zweite Stufe der IonStack-Kette ist CVE-2026-43499 – eine Schwachstelle im futex-Subsystem des Linux-Kernels, die Nebula als GhostLock bezeichnet. Diese Stufe ermöglicht eine Privilegieneskalation bis hin zu root auf dem anvisierten Android-Build. Nach Aussage der Forscher wird GhostLock direkt aus Firefox heraus ausgelöst, und die schwächere Android-Sandbox erleichtert die Ausnutzung – nach Einschätzung von Nebula hätte jedoch auch eine strengere Desktop-Sandbox den Angriff nicht zwingend verhindert. Es ist zu beachten, dass diese Einschätzung ausschließlich von einer einzelnen Forschungsquelle stammt und nicht vom Hersteller bestätigt wurde.

Bewertung der Auswirkungen

Am stärksten gefährdet sind Firefox-Nutzer auf allen Plattformen, die Versionen 147–151.0.2 einsetzen. Das Vorhandensein eines öffentlichen Exploits senkt die Einstiegshürde für potenzielle Angreifer erheblich, auch wenn der veröffentlichte Code auf einen spezifischen Android-Build abzielt. Die Anpassung der Browser-Phase an andere Plattformen ist eine Frage des technischen Aufwands, nicht grundsätzlicher Einschränkungen.

Nutzer von Firefox ESR 140.12 sind nach Analyse des Quellcodes von dieser Schwachstelle nicht betroffen. Der aktuelle Ausnutzungsstatus lautet: öffentlicher PoC verfügbar; weder Mozilla noch CISA berichten über eine aktive Ausnutzung in realen Angriffen.

Empfehlungen

1. Aktualisieren Sie Firefox umgehend auf Version 151.0.3 oder höher. Das Update schließt die Einstiegsschwachstelle über den Browser.
2. Überprüfen Sie Ihre aktuelle Version: Öffnen Sie about:support in der Adresszeile von Firefox und vergewissern Sie sich, dass die Versionsnummer nicht unter 151.0.3 liegt.
3. Für Android-Nutzer: Aktualisieren Sie Firefox über Google Play. Angesichts der vorhandenen vollständigen Exploit-Kette für Android 17 befinden sich mobile Nutzer in einer erhöhten Risikozone.
4. Für Administratoren in Unternehmensumgebungen: Wenn Firefox ESR 140.12 eingesetzt wird, ist dieser Zweig von der Schwachstelle nicht betroffen. Stellen Sie jedoch sicher, dass keine verwaltete Installation stabile Versionen im Bereich 147–151.0.2 verwendet.
5. Das Firefox-Update behebt CVE-2026-43499 (GhostLock) nicht – diese Schwachstelle im Linux-Kernel erfordert einen separaten Patch auf Ebene des Betriebssystems. Verfolgen Sie die Sicherheitsupdates für Android und den Linux-Kernel.

Die Veröffentlichung eines funktionsfähigen Exploits für CVE-2026-10702 macht das Update von Firefox auf Version 151.0.3 zu einer vorrangigen Aufgabe – insbesondere auf Android-Geräten, auf denen eine vollständige Kette vom Besuch einer Webseite bis zum Erlangen von Root-Rechten demonstriert wurde. Nutzer mobiler Geräte sollten darüber hinaus alle verfügbaren Sicherheitsupdates des Betriebssystems installieren, um die Kernel-Schwachstelle GhostLock zu schließen.