資安業者Aisle揭露Firefox中藏匿6個月的高風險漏洞

利用AI技術進行自動化漏洞分析的資安業者Aisle本周揭露，該公司在Firefox的WebAssembly引擎中發現一個堆疊緩衝區溢位漏洞CVE-2025-13016，該漏洞是因為程式碼裡有一行指標計算錯誤，而讓駭客得以在特定情況下執行任意程式碼，影響全球逾1.8億Firefox用戶。

研究人員指出，Mozilla在2025年4月加入這段含有漏洞的程式碼，並同時加入一個用來驗證其行為的回歸測試（Regression Test），但仍未能偵測出問題，直到2025年10月才被Aisle的自主分析器發現。

WebAssembly是一種讓瀏覽器可執行高效能程式的技術，而WebAssembly引擎則負責運行這些程式。此次漏洞正位於引擎內一段用於將WebAssembly陣列資料複製到暫存區的C++程式碼，因指標運算錯誤造成複製範圍誤算，導致資料寫出邊界並形成堆疊緩衝區溢位。CVE-2025-13016的CVSS風險等級為7.5。

該漏洞影響所有支援WebAssembly GC的Firefox平臺，包括Windows、macOS、Linux與Android，涵蓋Firefox 143到145初期版本以及ESR 140.0至140.4。

此次漏洞雖發生在Firefox本身，但各大Linux發行版都在官方軟體庫提供Firefox套件，因此在漏洞公開後，主要Linux系統皆迅速推出修補更新，包括Ubuntu、Debian、Fedora、Arch Linux與紅帽企業版Linux等，以確保使用者能自動取得安全版本。

Aisle於10月2日向Mozilla通報該漏洞，而Mozilla在14天內便完成修補。Aisle並表示Mozilla為此支付了「可觀」（Substantial）的漏洞獎金，但未透露實際金額。