ثغرة RCE من نوع 1day في مُقدّم Chrome عبر الخلط بين الأنواع (Type Confusion) في تتبّع حزمة الاستدعاءات غير المتزامنة (CVE-2023-6702)

الملخص

سمحت هذه الثغرة لمهاجم عن بُعد بتنفيذ كود تعسفي داخل عملية عرض Chrome (renderer process).

كان هناك فحص غير كافٍ للنوع في كود معالجة تتبّع حزمة الاستدعاءات غير المتزامنة (async stack trace). يؤدي ذلك إلى خلط بين النوعين FunctionContext وNativeContext، مما يسبّب وصولًا غير قانونيًا إلى قيمة JSGlobalProxy->hash. باستخدام حقن الكومة (heap spraying)، تمكن المهاجم من حقن إطار حزمة استدعاءات غير متزامنة مزيف، وبناء أولية fakeobj. وباستخدام أولية fakeobj، تمكن المهاجم من تحقيق تنفيذ كود تعسفي في عملية عرض Chrome.

يمكنكم الاطلاع على شرائح عرضنا في TyphoonCon 2024.

البائع / المنتج / الإصدار

• Google Chrome
• الإصدارات المتأثرة: ما قبل 120.0.6099.109
• الإصدار المُصحَّح: 120.0.6099.109

الخط الزمني

• 2020-05-13: إدخال الثغرة - [Promise.any] Implment async stack traces for Promise.any
• 2023-11-10: الإبلاغ عن الثغرة - Security: V8 Debug check failed: LAST_TYPE >= value
• 2023-11-15: التصحيح - [promises, async stack traces] Fix the case when the closure has run
• 2023-12-12: النشرة الأمنية - https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_12.html
• 2024-01-12: تقديم v8CTF <-- الوقت الذي عملنا فيه على هذه الثغرة
• 2024-02-23: الإفصاح عن تقرير الثغرة

الخلفية

تتبّع حزمة الاستدعاءات غير المتزامنة (Async Stack Trace)

تُعد البرمجة غير المتزامنة واحدة من أهم الميزات في JavaScript. في الماضي، كان من الصعب تصحيح أخطاء الكود غير المتزامن باستخدام حزمة الأخطاء لأن الدوال غير المتزامنة لا يتم التقاطها في حزمة الأخطاء. يتم تخزين الدوال غير المتزامنة المعلّقة في قائمة انتظار الاستدعاءات الخاصة بحلقة الأحداث (event loop) وليس في حزمة الاستدعاءات، لذلك لا تحتوي حزمة الأخطاء على الدالة غير المتزامنة. لحل هذه المشكلة، توفر V8 ميزة "async stack trace" (وهي مفعّلة افتراضيًا منذ V8 v7.3) لالتقاط الدوال غير المتزامنة في حزمة الأخطاء. ([v8 blog], [v8 docs])

دالة Promise.all Resolve Element Closure

"Promise.all Resolve Element Closure" هي دالة مساعدة لحل الوعود المُدخلة في دالة Promise.all. تأخذ دالة Promise.all مصفوفة من الوعود وتُعيد وعدًا يتم حلّه عند حل جميع الوعود المُدخلة. "Promise.all Resolve Element Closure" هي معالج حل (resolve handler) لكل وعد مُدخل في دالة Promise.all. دور الدالة هو حل الوعد المُدخل وتخزين قيمة الإنجاز (fulfillment value) في مصفوفة النتائج.

هناك نقطتان يجب ملاحظتهما حول هذه الدالة:

1. إنها دالة مدمجة داخلية (intrinsic builtin function) ولا يمكن الوصول إليها مباشرة من كود JavaScript.
2. يُستخدم سياق (context) الدالة كعلامة للتحقق مما إذا كانت الدالة قد نُفِّذت أم لا. تحتوي على FunctionContext حتى يتم استدعاؤها، ثم تحتوي على NativeContext بعد استدعائها. (كود v8)

الثغرة

فئة الثغرة: خلط بين الأنواع (Type confusion) بين FunctionContext وNativeContext

تفاصيل الثغرة:

يمكن تفعيل الثغرة عن طريق التقاط تتبّع حزمة الاستدعاءات غير المتزامنة مع دالة "Promise.all Resolve Element Closure" المنفّذة بالفعل أو دوال مدمجة داخلية مشابهة. في هذا الاستغلال، استخدمت دالة "Promise.all Resolve Element Closure" كمثال.

عند إلقاء خطأ في كود JavaScript، تلتقط V8 حزمة الأخطاء من المكدس وتُلحق إطارات حزمة الاستدعاءات غير المتزامنة من المهمة الصغيرة الحالية (current microtask) [1].

CallSiteBuilder builder(isolate, mode, limit, caller);
VisitStack(isolate, &builder);

// If --async-stack-traces are enabled and the "current microtask" is a
// PromiseReactionJobTask, we try to enrich the stack trace with async
// frames.
if (v8_flags.async_stack_traces) {
    CaptureAsyncStackTrace(isolate, &builder);
}

دالة CaptureAsyncStackTrace [[2]] تبحث في سلسلة الوعود وتُلحق إطار حزمة الاستدعاءات غير المتزامنة وفقًا لنوع الاستدعاء غير المتزامن (مثل await وPromise.all وPromise.any).

فيما يلي مقتطف من دالة CaptureAsyncStackTrace يعالج حالة Promise.all:

} else if (IsBuiltinFunction(isolate, reaction->fulfill_handler(),
                                Builtin::kPromiseAllResolveElementClosure)) {
    Handle<JSFunction> function(JSFunction::cast(reaction->fulfill_handler()),
                                isolate);
    Handle<Context> context(function->context(), isolate);
    Handle<JSFunction> combinator(context->native_context()->promise_all(),
                                isolate);
    builder->AppendPromiseCombinatorFrame(function, combinator);

    // Now peak into the Promise.all() resolve element context to
    // find the promise capability that's being resolved when all
    // the concurrent promises resolve.
    int const index =
        PromiseBuiltins::kPromiseAllResolveElementCapabilitySlot;
    Handle<PromiseCapability> capability(
        PromiseCapability::cast(context->get(index)), isolate);
    if (!IsJSPromise(capability->promise())) return;
    promise = handle(JSPromise::cast(capability->promise()), isolate);
} else if (

أثناء البحث في سلسلة الوعود، إذا كان reaction->fulfill_handler هو الدالة المدمجة "Promise.all Resolve Element Closure"، فإنه يُلحق إطار المُجمِّع غير المتزامن (async promise combinator frame) بحزمة الأخطاء. ثم ينتقل إلى الوعد التالي عن طريق الوصول إلى function->context->capability->promise.

المشكلة هي أن الدالة تفترض أن دالة "Promise.all Resolve Element Closure" لم يتم تنفيذها بعد. إذا تم تنفيذ دالة "Promise.all Resolve Element Closure" بالفعل، فسيتم تغيير السياق من FunctionContext إلى NativeContext. يؤدي ذلك إلى خلط بين النوعين FunctionContext وNativeContext في دالة CaptureAsyncStackTrace.

إعداد الإثبات المفاهيمي (PoC):

استراتيجية تفعيل الثغرة هي كما يلي:

1. الحصول على دالة "Promise.all Resolve Element Closure" وهي دالة مدمجة داخلية.
2. استدعاء دالة "Promise.all Resolve Element Closure" صراحةً لتغيير السياق من FunctionContext إلى NativeContext.
3. تعيين دالة "Promise.all Resolve Element Closure" كمعالج إنجاز (fulfill handler) لوعد ضمن سلسلة وعود جديدة.
4. إلقاء خطأ في سلسلة الوعود والتقاط تتبّع حزمة الاستدعاءات غير المتزامنة.

استخدمت نمط الحل المتزامن للوعود الخاص بـ Promise.all للحصول على دالة "Promise.all Resolve Element Closure" على مستوى سكربت JS. استعرت هذا النمط من حالات اختبار test262.

بعد استدعاء الدالة صراحةً، ولتفعيل الثغرة، استخدمت الكود النموذجي في [مستند تتبّع حزمة الاستدعاءات غير المتزامنة بدون تكلفة][v8 docs] لإعداد سلسلة وعود جديدة وتعيين الدالة المدمجة الداخلية كمعالج إنجاز لأحد الوعود.

أخيرًا، عند إلقاء الخطأ، يتم التقاط تتبّع حزمة الاستدعاءات غير المتزامنة مع دالة "Promise.all Resolve Element Closure" المنفّذة بالفعل كمعالج إنجاز، مما يؤدي إلى خلط بين النوعين FunctionContext وNativeContext.

إليكم كود الإثبات المفاهيمي: poc.js

الاستغلال

(تم تعريف مصطلحات أولية الاستغلال (exploit primitive)، واستراتيجية الاستغلال (exploit strategy)، وتقنية الاستغلال (exploit technique)، وتدفق الاستغلال (exploit flow) هنا.)

أولية الاستغلال: أولية fakeobj

استراتيجية الاستغلال: لبناء أولية fakeobj من ثغرة الخلط بين الأنواع، استخدمت الاستراتيجية التالية:

1. حقن الكومة (heap spray) بكائنات JSPromise لمطابقة رقم التجزئة العشوائي مع مؤشر كائن JSPromise صالح.
2. استخدام قيمة التجزئة كمؤشر كائن JSPromise صالح وحقن إطار حزمة الاستدعاءات غير المتزامنة المزيف.
3. استخدام Error.prepareStackTrace مع طريقة getThis لاسترجاع الكائن المزيف.