In de JavaScript-engine LibJS, gebruikt in de webbrowser Ladybird, is een kwetsbaarheid ontdekt (CVE-2025-47154) waarmee een aanvaller code op het systeem kan uitvoeren bij de verwerking van speciaal opgemaakte JavaScript-code. De kwetsbaarheid wordt veroorzaakt door het vrijgeven van geheugen op de vector m_argument_values_buffer, waar een verwijzing naar bleef bestaan in de arguments_list-structuur, wat leidde tot toegang tot een al vrijgegeven geheugengebied. Een functionele exploit bestaat al.
De onderzoeker die het probleem ontdekte, voerde fuzzing-testen uit op LibJS, waarbij 10 crashes werden geregistreerd. De analyse van een van de crashes toonde aan dat het probleem kon worden uitgebuit bij de verwerking van JavaScript-code. De kwetsbaarheid maakte het mogelijk om te lezen en te schrijven in willekeurige geheugengebieden van het proces. Code-uitvoering werd georganiseerd in de exploit door de return-pointer vanuit de rendering-functie te vervangen. Met behulp van Return-Oriented Programming (ROP) werd een keten gevormd voor het uitvoeren van de systeemaanroep execve om een extern programma te starten.
De browser Ladybird wordt ontwikkeld door Andreas Kling, die ooit bij Nokia werkte en betrokken was bij de ontwikkeling van KHTML, en later bij Apple een van de ontwikkelaars van Safari was. In de huidige ontwikkelingsfase bevindt Ladybird zich in de pre-alpha fase, die alleen geschikt is voor gebruik door ontwikkelaars. Het project werd oorspronkelijk opgericht als een applicatie voor het besturingssysteem SerenityOS, maar vorig jaar zomer werd het een apart project en kreeg het een donatie van 1 miljoen dollar. De browser is geschreven in C++ (er is besloten over te stappen op Swift) en wordt verspreid onder de BSD-licentie. Het project ontwikkelt zijn eigen engine LibWeb, JavaScript-interpreter LibJS en bijbehorende bibliotheken.
Bron: opennet.ru
