CVE-2025-14325 : Type confusion dans le JIT Baseline de Firefox via SpiderMonkey

🔍 Contexte

Publié le 28 mars 2026 sur le blog de recherche QriouSec, cet article présente une analyse technique approfondie de la vulnérabilité CVE-2025-14325, découverte dans le moteur JavaScript SpiderMonkey de Mozilla Firefox. La découverte a été facilitée par du fuzzing assisté par IA (Claude Code) ciblant la fonctionnalité TypedArray resizable.

🐛 Vulnérabilité : Type Confusion dans le JIT Baseline

La vulnérabilité réside dans le mécanisme des inline caches (IC) du tier Baseline JIT de SpiderMonkey. Le flux d’exploitation repose sur une fenêtre de ré-entrance :

• [1] Snapshot de la forme (oldShape) de l’objet avant l’opération
• [2-3] Tentative d’attachement d’un stub IC différé
• [4] Exécution de l’opération VM — peut déclencher du JavaScript arbitraire via valueOf()
• [5-6] Attachement différé via tryAttachAddSlotStub(oldShape)

Durant l’étape [4], un callback valueOf() appelle SharedArrayBuffer.prototype.grow(), ce qui étend la longueur d’un TypedArray redimensionnable. Un index précédemment hors-limites devient alors valide, retournant un TypedArrayElement au lieu d’un NativeProperty.

⚙️ Mécanisme de la confusion de types

La classe PropertyResult utilise une union C++ pour stocker le résultat d’une recherche de propriété :

• propInfo_ (32 bits) pour NativeProperty
• typedArrayIndex_ (64 bits) pour TypedArrayElement

En build release, l’assertion MOZ_ASSERT(isNativeProperty()) dans propertyInfo() est compilée hors, permettant la lecture des 32 bits inférieurs de typedArrayIndex_ comme un PropertyInfo. Le numéro de slot contrôlé est ensuite gravé dans le stub IC.

🎯 Contournement du MOZ_RELEASE_ASSERT

Pour passer la garde [9], les 32 bits inférieurs de typedArrayIndex_ doivent correspondre à slotAndFlags_ de la dernière propriété. Par exemple :

💥 Exploitation

L’exploitation complète comprend :

• Stage 1 (Information Leak) : Lecture de slots arbitraires via le stub IC corrompu pour fuiter des adresses mémoire
• Contrôle du GC : Utilisation de minorgc() et d’allocations massives d’ArrayBuffer pour contrôler le ramasse-miettes (minor/major GC)
• Le stub IC corrompu permet une écriture hors-limites sur le buffer de slots dynamiques de l’objet, menant à une exécution de code arbitraire

📋 Type d’article

Il s’agit d’une analyse technique et d’un rapport de vulnérabilité détaillant la découverte, le mécanisme interne et le scénario d’exploitation complet de CVE-2025-14325 dans Firefox/SpiderMonkey.

🧠 TTPs et IOCs détectés

TTP

• T1203 — Exploitation for Client Execution (Execution)
• T1587.004 — Develop Capabilities: Exploits (Resource Development)

IOC

• CVEs : CVE-2025-14325
• Chemins : js/src/jit/BaselineIC.cpp
• Chemins : js/src/vm/PropertyResult.h
• Chemins : js/src/gc/Nursery.cpp
• Chemins : js/src/gc/GC.cpp

---

🔗 Source originale : https://qriousec.github.io/post/cve-2025-14325/