كروميوم CVE-2025-2783: هروب من الصندوق الرملي واستغلال RCE كامل السلسلة

يحتوي هذا المستودع على تنفيذ استغلال كامل السلسلة لـ CVE-2025-2783. توجد الثغرة في طبقة الاتصال Ipcz في كروميوم، مما يسمح للمهاجم بتحقيق هروب من الصندوق الرملي وتنفيذ كود عشوائي من عملية العرض المقيدة. يدعم هذا الاستغلال الإصدارات حتى 134.0.6998.177.

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. هيكل المشروع

• src/: تنفيذ الاستغلال الأساسي. يتضمن منطق اختطاف Ipcz، وربط V8، وتدفق تنفيذ اختطاف الخيط لـ CVE-2025-2783.
• demo/: بيئة عرض كامل السلسلة. يقوم بتشغيل ثغرة الخلط بين الأنواع في V8 عبر ملف HTML ويحمل الحمولة الثنائية المترجمة من src/، مكملاً السلسلة بأكملها من عملية العرض إلى تنفيذ شيلكود.

2. خلفية الثغرة (CVE-2025-2783)

• المكون: third_party/ipcz (تطبيق بروتوكول النقل Ipcz في كروميوم)
• السبب الجذري: يفتقر Ipcz إلى التحقق الصارم من المصدر والأذونات لمقابض العمليات المتقاطعة عند معالجة RelayMessage.
• التأثير: يمكن لعملية عرض مخترقة أن تدفع عملية المتصفح (الوسيط) إلى تمرير مقابض خيط عالية الامتياز، متجاوزة بذلك قيود الصندوق الرملي.

3. سلسلة الاستغلال

1. اعتراض الإشارات: يعترض الإشارات من جافا سكريبت في بيئة demo/ عن طريق ربط V8Console::Debug، واستخراج شيلكود المرحلة الثانية من ArrayBuffer بشكل آمن.
2. تشغيل الثغرة: يربط OnAcceptRelayedMessage ويبني طلب تمرير مزيف (معرف الرسالة: 0x69) للحصول على مقبض عالي الامتياز عبر CVE-2025-2783.
3. اختطاف الخيط:
   • يعلق الخيط المستهدف عالي الامتياز.
   • يعدل حالة المسجلات قسراً باستخدام SetThreadContext.
   • يستدعي بالتتابع VirtualAlloc وReadProcessMemory وCreateThread داخل سياق الهدف لتنفيذ الشيلكود.

4. البناء والعرض

بناء المكتبة الأساسية (src/)

نظرًا لأن الكود يعتمد بشكل كبير على مكتبات ipcz وmojo الداخلية لكروميوم، فمن المستحسن بشدة دمج دليل src/ في شجرة المصادر لكروميوم وبنائه باستخدام GN وNinja لضمان ربط جميع التبعيات الداخلية بشكل صحيح.

عرض كامل السلسلة (demo/)

1. التوافق: تم اختباره حاليًا فقط على Chrome v128؛ نظرًا لطبيعة الاستغلال، فإنه ينطبق فقط على أنظمة Windows.
2. التحضير: تأكد من أن القطع الأثرية الثنائية من src/ جاهزة (تم توفير payload.bin وshellcode.bin المترجمة مسبقًا في دليل demo/).
3. التنفيذ: قم بتشغيل python -m http.server في دليل demo/، ثم انتقل إلى http://127.0.0.1:8000/exp.html في المتصفح.
4. النتيجة: سيقوم سكريبت العرض تلقائيًا بتحميل الحمولة الثنائية وتنفيذ الشيلكود المحدد مسبقًا على النظام.

5. المراجع

• قضية كروميوم 405143032
• قضية كروميوم 381696874
• Minhook

6. إخلاء المسؤولية

هذا المستودع مخصص للأغراض الأكاديمية وبحوث الأمن فقط. المؤلف غير مسؤول عن أي خسائر أو التزامات قانونية ناتجة عن استخدام هذا الكود. يرجى إجراء الاختبارات فقط في بيئات مصرح بها.