Jedna zlonamerna stranica može da kompromituje Firefox i Tor Browser

Nebula Security je 29. jula 2026. objavio detalje ranjivosti CVE-2026-10702, koja omogućava izvršavanje proizvoljnog koda samom posetom zlonamernoj stranici. Mozilla ju je ocenila kao visoko rizičnu i ispravila u Firefoxu 151.0.3.

Jedan klik otvara put napadu

Propust pogađa stabilne verzije Firefoxa od 147 do 151.0.2. Ugrožena su i izdanja Tor Browsera zasnovana na ranjivim verzijama, ali njihov tačan spisak nije utvrđen. Firefox ESR 140.12 ne sadrži problematičnu izmenu.

Napad ne zahteva promenu podešavanja niti dodatnu potvrdu korisnika. Sam propust izvršava kod unutar izolovanog procesa za sadržaj, ali može da posluži kao početna tačka složenijeg lanca. Do 28. jula nije bilo potvrde da je ranjivost zloupotrebljena protiv korisnika.

Od greške u JIT-u do administratorskih prava

Greška se nalazi u operaciji MObjectToIterator JIT kompajlera. Firefox je korak koji može da zameni memorijski bafer pogrešno označio kao čitanje, pa je optimizator ponovo koristio pokazivač nakon što je memorija već oslobođena.

„Nisu potrebna nikakva podešavanja niti dodatna interakcija korisnika. Dovoljno je posetiti zlonamernu veb-stranicu“, rekao je Eten Zou, direktor kompanije Nebula Security.

Objavljeni exploit preuzima oslobođenu memoriju, pravi lažni objekat i korumpira Uint8Array kako bi dobio proizvoljno čitanje i upis. Zatim menja memorijske dozvole i preusmerava WebAssembly funkciju na ARM64 shellcode.

Ranjivost je prva faza lanca IonStack za podržani Google uređaj sa sistemom Android 17. Druga faza koristi Linux kernel propust CVE-2026-43499, nazvan GhostLock, za sticanje root prava. Ažuriranje Firefoxa zatvara ulaznu tačku, ali ne ispravlja GhostLock.

Šta to znači za poslovne sisteme

Kompanije treba odmah da podignu Firefox na najnovije izdanje, provere verzije Tor Browsera i primene centralnu kontrolu ažuriranja. Za mobilne uređaje nije dovoljno zakrpiti samo pregledač: zaštita zahteva i aktuelne sistemske i kernel bezbednosne ispravke.