型混同（Type Confusion） とは？

オブジェクトを間違った型として扱ってしまうバグだよ。型が違うとメモリ上のフィールド配置も違うから、別の型として解釈すると意図しないアドレスを読み書きしてしまうんだ。

たとえば型Aのオブジェクトが「整数、ポインタ」の順でフィールドを持つとするね。それを「ポインタ、整数」の順の型Bとして解釈すると、整数値がポインタとして読み取られてしまうんだよ。攻撃者はその整数値を細工することで、任意のメモリアドレスを指させられるんだ。

JavaScriptのJITコンパイラは型推論で最適化するために、型チェックを一部省略することがあるんだよ。その省略箇所で型が変化すると型混同が起きてしまう。ChromeのV8やFirefoxのSpiderMonkeyでも多数報告されてきたね。

攻撃者が整数として送り込んだ値がポインタとして解釈されるから、任意のメモリを読み書きできるようになるんだ。そこからサンドボックス脱出や任意コード実行（RCE）に繋がることも多くて、深刻度がとても高い脆弱性なんだよ。

ランタイムの型チェック強化、型安全な言語の採用、それとJIT hardeningといって型推論を保守的にして省略を減らす手法が主な対策だよ。根本的にはキャストのたびに型を検証する設計が大切だね。