Ερευνητές δημοσίευσαν τις πλήρεις τεχνικές λεπτομέρειες και τον κώδικα εκμετάλλευσης για μια κρίσιμη ευπάθεια απομακρυσμένης εκτέλεσης κώδικα (RCE) στο V8 JavaScript engine του Google Chrome.
Η ευπάθεια, που παρακολουθείται εσωτερικά ως “WebAssembly type canonicalization bug“, προκύπτει από ακατάλληλο nullability check στη λειτουργία CanonicalEqualityEqualValueType, που εισήχθη με την αλλαγή 44171ac στο Chrome M135 και άνω. Ως αποτέλεσμα, δεν γίνεται διάκριση μεταξύ ref t0 και ref null t0, κάτι που επιτρέπει σε έναν επιτιθέμενο να δημιουργήσει δύο recursive type groups που συγκρούονται κάτω από το ίδιο MurmurHash64A hash value.
Με την εκκίνηση ενός birthday attack στο type canonicalization, η εκμετάλλευση επιτυγχάνει nullability confusion σε indexed reference types, υπονομεύοντας τις βασικές εγγυήσεις ασφάλειας Wasm type. Μια νέα παράκαμψη sandbox V8 αξιοποιεί JavaScript Promise Integration (JSPI) state-switching flaws που εισήχθησαν στο M137.
Δείτε επίσης: Δημοσιεύτηκε PoC Exploit για zero-day στο Oracle E-Business Suite
Η SSD Secure Disclosure δήλωσε ότι ένας επιτιθέμενος εκμεταλλεύεται ένα intra-state confusion στο secondary stack management logic για να μετακινήσει την εκτέλεση μεταξύ nested JS και Wasm stacks out of order.
Η εκμετάλλευση αποκτά πλήρες stack control και δημιουργεί return-oriented programming chain για να καλέσει το VirtualProtect σε έναν RWX shellcode buffer.
Chrome RCE Ευπάθεια – Exploit
Το proof-of-concept exploit, που κυκλοφόρησε για την ευπάθεια Chrome, περιλαμβάνει ένα HTML payload και συνοδευτικό JavaScript που χρησιμοποιεί το wasm-module-builder.js για να δημιουργήσει bespoke Wasm types και functions.
Για την ανάπτυξη της εκμετάλλευσης, ο χρήστης πρέπει να μεταβεί στη διεύθυνση https://127.0.0.1:8000/exp.html. Η επιτυχής εκμετάλλευση θα δημιουργήσει ένα Windows calc.exe process μέσω ενός κατασκευασμένου ROP chain και RWX shellcode.
Δείτε επίσης: Κυκλοφόρησε PoC Exploit για ευπάθεια στο Sudo που επιτρέπει πρόσβαση Root
Το exploit script εκτελεί τα εξής βήματα:
1. Καταγράφει δύο Wasm recursive type groups (t2null έναντι t2nonnull) που διαφέρουν μόνο στο nullability και στη συνέχεια χρησιμοποιεί ένα birthday attack σε 2^32 MurmurHash64A values για να εντοπίσει μια σύγκρουση.
2. Μετατρέπει ένα ref null t1 σε ref t1, παρέχοντας ένα sandboxed caged read/write primitive. Εκμεταλλεύεται το out-of-bounds access σε ένα μεγάλο ArrayBuffer.
3. Κατασκευάζει nested promise-based Wasm exports για να αναγκάσει stack switches, και στη συνέχεια εκμεταλλεύεται μια έλλειψη SBX_CHECK στο commit c6426203, για να παρακάμψει ένα ανενεργό stack frame.
4. Κάνει spraying έναν πίνακα gadget addresses—pop rax; jmp rax, VirtualProtect thunk offsets, κ.λπ.—για να επισημάνει shellcode memory ως εκτελέσιμη.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Ευπάθεια use-after-free στο Redis Server επιτρέπει RCE
Η ανακάλυψη και η εκμετάλλευση πιστώνονται στον Seunghyun Lee (0x10n), νικητή της κατηγορίας Chrome RCE στο TyphoonPWN 2025. Οι χρήστες καλούνται να ενημερώσουν στο Chrome M137.0.7151.57 (ή νεότερο) το συντομότερο δυνατό, για να μετριάσουν αυτόν τον κρίσιμο κίνδυνο RCE.
