MozillaVPN：通过竞争条件漏洞实现权限提升

漏洞摘要

在MozillaVPN中发现了一个竞争条件漏洞，导致在macOS系统上可实现本地权限提升至root。该竞争条件存在于应用程序安装或更新过程中，本地攻击者可将VPN二进制文件替换为恶意文件，该文件将以root权限执行。由于漏洞利用需要本地设备访问权限（例如先前的恶意软件感染），因此该问题被评定为中危等级。该漏洞已在2.20版本中修复。

时间线

• 2023年11月22日 14:09 UTC：northsea向Mozilla提交报告
• 2023年11月22日 14:57 UTC：Mozilla员工frida-k将状态改为"待项目审核"
• 2023年11月27日 10:13 UTC：状态更新为"已分类"
• 2023年12月4日 16:23 UTC：严重等级从高危(7.7)调整为中危
• 2023年12月4日 16:24 UTC：Mozilla向northsea发放奖金
• 2023年12月19日 12:20 UTC：漏洞被标记为"已解决"
• 2025年6月3日 13:22 UTC：请求披露此报告
• 13天前：报告已被披露

技术详情

漏洞类型：共享资源并发执行时同步不当（竞争条件） 严重等级：中危（4~6.9） CVE ID：无 赏金状态：已隐藏

该漏洞利用需要攻击者首先获得本地设备访问权限，通过利用安装或更新过程中的时间窗口，替换合法的VPN二进制文件为恶意版本，从而在程序运行时获得root权限。