Las explotaciones suelen depender de la plataforma, aunque la vulnerabilidad podría no serlo.
En este caso, depende de si el bloqueo se produce en Firefox o en alguna biblioteca subyacente. Si estamos hablando de un JPG, por ejemplo, el bloqueo puede deberse a un error en libjpg, en cuyo caso probablemente no será multiplataforma.
Sin embargo, si el bloqueo se produce en un código específico de Firefox que es multiplataforma, existe la posibilidad de que la vulnerabilidad exista en varias plataformas. Sin embargo, si se puede ejercer o no la vulnerabilidad para producir RCE es otra cuestión. Hay muchas variables en este caso, incluido el compilador, las optimizaciones realizadas por el compilador, el diseño de la pila, las posibles diferencias de convenciones de llamada, el algoritmo de asignación de pila utilizado por el sistema operativo y muchos otros elementos. El bloqueo puede existir en ambos sistemas, pero es posible que solo uno sea confiable y explotable. También puede darse el caso de que un sistema operativo se pueda explotar con esta única vulnerabilidad, mientras que el otro puede ser vulnerable cuando se ejerce otra vulnerabilidad junto con el error original (piense en la divulgación de memoria o error de escritura arbitrario).
En el caso de que la vulnerabilidad exista en ambas plataformas y se pueda ejercer, el código de explotación y el código de shell probablemente serán muy diferentes. Suponiendo que al menos uno de los sistemas operativos utiliza DEP, su cadena de ROP será muy diferente, al igual que las ubicaciones de los dispositivos ROP. Si ejercer la vulnerabilidad requiere algún tipo de preparación del montón, encontrará que los montones varían mucho entre los diferentes sistemas operativos, e incluso entre las diferentes versiones del mismo sistema operativo.
No hay una respuesta simple a esta pregunta, ya que es altamente dependiente de la situación. Sin embargo, en teoría, es posible que el código multiplataforma contenga un error que sea vulnerable a la explotación en múltiples plataformas diferentes. Sin embargo, es mucho menos probable que el procedimiento utilizado para ejercer la vulnerabilidad sea el mismo.