這篇技術分析將探討近期由 Nebula Security 揭露的一個嚴重安全漏洞 CVE-2026-10702。這個漏洞最初存在於 Firefox 瀏覽器中，由於 Tor 瀏覽器是以 Firefox 為基礎開發，因此同樣受到影響。對於開發者或資安工程師來說，這個案例非常經典，因為它展示了現代瀏覽器為了追求效能而引入的 JIT 編譯優化，如何變成攻擊者的突破口。
漏洞核心：JIT 編譯器的優化陷阱
要理解這個漏洞，首先要認識什麼是 JIT（Just-In-Time）編譯器。為了讓 JavaScript 執行得更快，瀏覽器不會每次都解釋執行程式碼，而是將頻繁執行的熱點程式碼直接編譯成機器碼。在編譯過程中，JIT 會進行一種稱為 GVN（Global Value Numbering，全域值編號）的優化，簡單來說，就是如果編譯器認為某個記憶體位置的值沒有改變，它會直接重複使用之前的暫存值，而不再重新從記憶體讀取，以提升速度。
CVE-2026-10702 的問題出在 Firefox 的一個特定操作 MObjectToIterator。在處理某些物件迭代時，編譯器錯誤地將一個可能會修改記憶體的行為標記為僅限讀取（Read-only）。
具體來說，當程式觸發某些延遲屬性（Lazy Property）的解析時，系統可能會分配一個新的記憶體緩衝區來存放動態槽位（Dynamic-slots buffer），並將舊的緩衝區釋放掉。但因為 JIT 編譯器誤以為這只是個讀取操作，它認為緩衝區的指標沒有改變，因此在後續步驟中繼續使用那個已經被釋放的舊指標。
從工程實務來看，這造成了典型的 Use-After-Free（釋放後使用）漏洞。攻擊者可以透過精巧的 JavaScript 程式碼，在舊記憶體被釋放後迅速佔領該空間，放入偽造的物件，進而實現對瀏覽器記憶體的任意讀寫。
從瀏覽器沙箱到系統核心的跳板
單靠這個漏洞，攻擊者只能在瀏覽器的 Renderer Process（渲染進程）中執行程式碼。現代瀏覽器都有沙箱（Sandbox）機制，即便渲染進程被攻破，攻擊者也被限制在一個權限極低的環境中，無法直接存取使用者的檔案或控制作業系統。
然而，Nebula Security 展示了一個名為 IonStack 的完整攻擊鏈。他們將 CVE-2026-10702 作為第一階段，用來在 Android 17 設備上獲取初步立足點。接著，他們利用了第二個漏洞 CVE-2026-43499（名為 GhostLock），這是一個 Linux 核心中關於 futex（快速使用者空間互斥鎖，用於執行緒同步的機制）的缺陷。
透過這兩個漏洞的組合，攻擊者可以完成從 瀏覽器渲染進程 到 Linux 核心權限 的跳躍，最終在 Android 設備上取得 Root 最高權限。
對 Tor 瀏覽器與使用者的影響
這個漏洞最危險的地方在於它不需要使用者進行任何額外操作，也不需要更改設定。使用者只要訪問一個精心構造的惡意網頁，漏洞就會被觸發。由於 Tor 瀏覽器高度依賴 Firefox 的核心引擎，所有使用了受影響 Firefox 版本（147 至 151.0.2）的 Tor 瀏覽器版本都處於風險之中。
雖然目前沒有證據顯示此漏洞在野外被大規模利用，但其攻擊路徑的完整性證明了 JIT 優化漏洞的毀滅性。
如何防禦與修復
Mozilla 已經在 Firefox 151.0.3 版本中修復了此問題。修復方法是移除 ObjectToIterator 中錯誤的唯讀別名處理，確保編譯器能正確識別該操作可能會修改記憶體，從而禁止優化程式使用過時的指標。
對於工程師的啟示是，在開發高效能的編譯器或記憶體管理系統時，任何關於狀態改變的假設（例如：這個操作絕對不會修改記憶體）都必須經過極其嚴格的驗證。一旦優化邏輯與實際運行時的記憶體狀態不一致，就會產生無法預期的安全漏洞。
建議所有 Firefox 與 Tor 瀏覽器使用者立即更新至最新版本，以阻斷此攻擊鏈的第一個入口。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。