sm1ee/cve-2026-91737إثبات مفهوم لـ CVE-2026-91737، وهو ثغرة use-after-free في PDFium ضمن مُصيّر PDF في Chrome تتيح تجاوز ASLR وتنفيذ حمولة ARM64 داخل وضع الحماية (sandbox).
يقوم إجراء JavaScript في PDF قابل لإعادة الدخول بإلغاء تحميل CPDF_Page بينما يحتفظ PopulateAnnotationLinks() في Chromium بمقبض الصفحة الخام الخاص به. يستعيد هذا الإثبات البرهاني (PoC) التخصيص، ويستعيد ASLR، وينفّذ حمولة ARM64 بحجم 40 بايت مقدَّمة من المهاجم داخل مُصيّر PDF المعزول (sandboxed). تكتب الحمولة علامة مرجعية (sentinel) ثم تعود إلى برمجة PDF النصية.
مشكلة Chromium رقم 558036280 · تحديث الاستغلال العام والمرفقات
تم الاختبار على Chrome Beta 154.0.8037.0 غير المعدَّل، على macOS 26.2 arm64. كانت قيمة SHA-256 لإطار Chrome Framework هي 280c15c95811fcf799c91e7c307fc941cc61be1f156247d86d9856ead0e06062. تم إصلاح المشكلة؛ ويستخدم هذا الإثبات البرهاني إزاحات (offsets) خاصة بالبناء الذي تم اختباره. يتطلب إمكانية الوصول إلى PDF (PDF accessibility). يجعل العلم (flag) أدناه هذا الدخول حتميًا ويُبقي على عزل المُصيّر (renderer sandbox) مُفعَّلًا.
python3 oracle_server.py --port 8000 --root serve --events ./rce-events.jsonl
في طرفية أخرى:
"/Applications/Google Chrome Beta.app/Contents/MacOS/Google Chrome Beta" \
--user-data-dir="$(mktemp -d /tmp/plc01-rce.XXXXXX)" \
--no-first-run --no-default-browser-check \
--disable-background-networking --disable-component-update --disable-sync \
--force-renderer-accessibility --enable-logging=stderr --v=1 \
http://127.0.0.1:8000/quick/poc.html
ينتهي النجاح بالرسالة SELFCONTAINED_MAPJIT_NATIVE_PAYLOAD_SENTINEL_COMPLETE. استغرق التشغيل المُتحقَّق منه حوالي 21 دقيقة. تؤدي فحوصات ASLR الفاشلة عمدًا إلى تعطّل نسخ مُصيّر PDF.
النطاق: تنفيذ تعليمات برمجية أصلية (native) داخل مُصيّر PDF المعزول. لا يُدَّعى أي اختراق لعملية المتصفح أو أي تجاوز للعزل (sandbox escape).