MozillaVPN：通过竞争条件漏洞实现权限提升

漏洞摘要

在MozillaVPN中发现了一个竞争条件漏洞，该漏洞导致在macOS系统上可实现本地权限提升至root权限。该竞争条件存在于应用程序安装或更新过程中，本地攻击者可以将VPN二进制文件替换为恶意文件，该文件将以root权限执行。

技术细节

漏洞机制

该漏洞利用安装或更新过程中的时间窗口，攻击者通过替换VPN二进制文件的方式实现权限提升。由于执行环境需要访问本地设备（如先前存在的恶意软件感染），该问题被评定为中等严重性等级。

修复情况

该漏洞已在版本2.20中修复。

时间线

• 2023年11月22日 14:09 UTC - northsea向Mozilla提交报告
• 2023年11月22日 14:57 UTC - Mozilla员工frida-k将状态改为待程序审核
• 2023年11月27日 10:13 UTC - 状态改为已分类
• 2023年12月4日 16:23 UTC - 严重性从高(7.7)调整为中等
• 2023年12月4日 16:24 UTC - Mozilla向northsea发放奖金
• 2023年12月19日 12:20 UTC - 报告关闭，状态改为已解决
• 2025年7月3日 13:22 UTC - 报告被公开披露

漏洞信息

• 报告ID: #2261577
• 状态: 已解决
• 严重性: 中等 (4 ~ 6.9)
• 弱点类型: 使用共享资源的并发执行与 improper synchronization（竞争条件）
• CVE ID: 无
• 披露日期: 2025年7月3日 13:22 UTC

技术影响

该漏洞允许本地攻击者在特定时间窗口内替换关键系统文件，从而获得root权限执行恶意代码，对系统安全构成实质性威胁。