📌 السياق والغرض

في الأول من أبريل 2026، أصدرت Google تحديثًا أمنيًا لـ Chrome يعالج 21 ثغرة، إحداها CVE-2026-5281، والتي كانت تُستغل بنشاط في النسخة المتداولة وقت الإفصاح. بعد ثلاثة أيام، أضافتها CISA إلى فهرس الثغرات المعروفة والمستغلة وأصدرت توجيهًا تشغيليًا ملزمًا يطالب الوكالات الفيدرالية بتطبيق التصحيح. بحلول ذلك الوقت، كانت قد أثرت علينا بالفعل.

هذا المستودع موجود لسبب واحد: حتى في المرة القادمة التي يحدث فيها شيء كهذا، يكون لدينا نقطة انطلاق بدلاً من البدء من الصفر. يجمع المستودع بين:

• النظرية: ما هما WebGPU و Dawn، وماذا يعني استخدام بعد التحرير (Use-After-Free) على مستوى العتاد، ولماذا هذا الخلل المحدد خطير.
• البحث: ملخص موثق لاستراتيجية استغلال الباحث الأصلي والنتائج الملاحظة.
• الأدوات: كاشف الإصدار، ومدقق الثغرات الذي يفحص سلسلة الهجوم الكاملة لـ WebGPU، وماسح محلي، وماسح أسطول للتدقيق الجماعي لملفات CSV، ومشغل UAF للتحقق المختبري.

القاعدة المهمة هنا: كل كائن مملوك لـ GPUDevice. إتلاف المخزن المؤقت بينما لا يزال الجهاز يحتوي على أوامر قيد التنفيذ تشير إليه هو أمر غير قانوني صراحةً بموجب المواصفات. من المفترض أن يكتشف تطبيق Dawn ذلك ويرفضه. CVE-2026-5281 هو حالة لم يفعل فيها ذلك.



---
---
---



<div id='whatisdawn'/>

## ***⚙️ ما هو Dawn؟***

- **[Dawn - تنفيذ WebGPU مفتوح المصدر](https://dawn.googlesource.com/dawn)**

	> Dawn هو تنفيذ مفتوح المصدر ومتعدد المنصات لمعيار WebGPU قيد التطوير. يعرض واجهة برمجة تطبيقات C++ أصلية تعكس WebGPU IDL مع بعض الامتدادات.

Dawn هي مكتبة C++ داخل Chrome تترجم استدعاءات JavaScript الخاصة بـ WebGPU إلى أوامر GPU أصلية للمنصة. على Windows تستهدف D3D12، على macOS تستهدف Metal، وعلى Linux تستهدف Vulkan. تقع بين محرك JavaScript في Chrome وبرنامج تشغيل الأجهزة، وهي مسؤولة عن أربعة أشياء: التحقق من صحة استدعاءات API، تسلسل الأوامر، تتبع عمر الكائنات، وإظهار الأخطاء إلى JavaScript.

يقع CVE-2026-5281 في جزء تتبع العمر. تحديدًا، في المدة التي يحتفظ فيها Dawn بكائنات المخزن المؤقت لل GPU حية بينما لا تزال الأوامر التي تشير إليها معلقة للتنفيذ على قائمة انتظار الأجهزة.```
JavaScript (V8)
	│  WebGPU API calls
	▼
Dawn (C++) - validates, serializes, tracks lifetimes, reports errors
	│
	▼
D3D12 (Windows) - Metal (macOS) - Vulkan (Linux)
	│
	▼
GPU hardware driver
	│
	▼
Physical GPU - shader cores, VRAM

كائنات C++ الخاصة بـ Dawn، مثل الكائن الداخلي الذي يدعم GPUBuffer، تعيش على الـ heap. ويتم عدّها بالمراجع: يحتفظ مؤشر ذكي بعدد الأشياء التي تحتفظ بمرجع للكائن. عندما يصل هذا العدد إلى الصفر، يتم تشغيل المدمر وتُعاد الذاكرة إلى المخصص.

يمتلك GPUBuffer تمثيلين في نفس الوقت، واحد على جانب CPU وواحد على جانب GPU:```
CPU side (Dawn, system RAM)
	└─ C++ object - metadata, state flags, and a hardware handle
		│
		│  handle: ID3D12Resource* (D3D12) - MTLBuffer (Metal) - VkBuffer (Vulkan)
		▼
GPU side (driver, VRAM)
	└─ Actual memory allocation on the graphics card

💀 ما هو الاستخدام بعد التحرير (Use-After-Free)؟

• CWE-416: الاستخدام بعد التحرير (MITRE)

  الإشارة إلى الذاكرة بعد تحريرها يمكن أن تتسبب في تعطل البرنامج، أو استخدام قيم غير متوقعة، أو تنفيذ تعليمات برمجية. يمكن أن يؤدي استخدام الذاكرة التي تم تحريرها مسبقًا إلى أي عدد من العواقب السلبية، بدءًا من تلف البيانات الصحيحة إلى تنفيذ تعليمات برمجية عشوائية.

يتبع الاستخدام بعد التحرير نمطًا ثابتًا من ثلاث خطوات وهو أحد أكثر أنواع ثغرات أمان الذاكرة استغلالًا باستمرار في أمان المتصفحات:```

1. ALLOCATE - a heap object is created, and a pointer to it is stored somewhere
2. FREE - the object is destroyed and its memory is returned to the allocator
3. USE - the stale pointer is read or written after the memory was freed ← the bug

After step 2, the allocator can hand that same memory region to a completely different allocation. If an attacker can control what gets placed into that freed region, a technique called heap grooming, they can control what the stale pointer reads back. That is how a memory safety bug becomes code execution.

GPU-side UAF is harder to observe than CPU-side UAF, because:

- The "allocator" is the GPU driver's VRAM allocator, not the system malloc.
- The "stale pointer" is a hardware handle still referenced by the command queue.
- The GPU executes commands asynchronously, the CPU has moved on long before the crash happens.



---
---
---



<div id='thevulnerability'/>

## ***🕳️ الثغرة***

---

<div id='thevulnerability-whatweknow'/>

### ***📋 ما نعرفه من المصادر العامة***

التالي مبني بالكامل على ما تم تأكيده علنًا.

- **[NVD: CVE-2026-5281](https://nvd.nist.gov/vuln/detail/CVE-2026-5281)**

	> ثغرة Use-after-free في Dawn في Google Chrome قبل الإصدار 146.0.7680.178 سمحت لمهاجم عن بُعد قام باختراق عملية العرض بتنفيذ تعليمات برمجية عشوائية عبر صفحة HTML مصمَّمة خصيصًا.

- **[The Hacker News: 1 أبريل 2026](https://thehackernews.com/2026/04/new-chrome-zero-day-cve-2026-5281-under.html)**

	> تدرك Google أن استغلالًا لـ CVE-2026-5281 موجود في البرية.

- **[Help Net Security: 1 أبريل 2026](https://www.helpnetsecurity.com/2026/04/01/google-chrome-zero-day-cve-2026-5281/)**

	> تم الإبلاغ عن CVE-2026-5281 من قبل صائد أخطاء باسم مستعار (86ac1f1587b71893ed2ad792cd7dde32)، والذي أبلغ سابقًا عن ثغرتين تم إصلاحهما في تحديث Chrome الصادر في 23 مارس 2026: تجاوز سعة مخزن مؤقت في WebGL (CVE-2026-4675) وثغرة Use-after-free أخرى في Dawn (CVE-2026-4676). كما أبلغ صائد الأخطاء عن ثغرة ثالثة Use-after-free في Dawn (CVE-2026-5284) تم إصلاحها هذه المرة.

---

<div id='thevulnerability-executionlayers'/>

### ***🔗 من JavaScript إلى العتاد***

لفهم مصدر ثغرة UAF في Dawn، من المفيد رؤية كيفية انتقال استدعاء WebGPU من سطر من JavaScript وصولاً إلى العتاد المادي:```
JavaScript
	↓  navigator.gpu → adapter → device → buffer / pipeline / encoder
	↓  queue.submit([commandBuffer])    ← validation happens here
	↓  buffer.destroy()                 ← if this races GPU execution, UAF

Dawn (C++) - validates API calls, serializes commands, tracks lifetimes
	↓  translates WebGPU calls to platform-native API calls

D3D12 (Windows)
	↓  ID3D12CommandQueue::ExecuteCommandLists()
	↓  hardware handle for the buffer passed to the driver

GPU hardware
	↓  shader cores execute the queued commands
	↓  if the buffer was freed prematurely → they access freed VRAM ← UAF

التوتر الأساسي هو أن كلاً من queue.submit() و buffer.destroy() هما استدعاءان لواجهة برمجة تطبيقات جافا سكريبت يعودان فوراً، لكن وحدة معالجة الرسومات (GPU) تنفذ الأوامر المُرسلة بشكل غير متزامن، وربما بعد فترة طويلة من عودة كلا الاستدعاءين. تحتاج Dawn إلى إبقاء كائنات المخزن المؤقت (buffer objects) حية طوال مدة تنفيذ وحدة معالجة الرسومات، وليس فقط حتى عودة استدعاء جافا سكريبت.

هذا أيضًا ما يكتشفه عداء الاختبار الآلي في هذا المستودع: فهو يراقب تلك الإشارات الدقيقة لوحدة التحكم لتحديد ما إذا كان الثغرة الأمنية قابلة للتفعيل في إصدار معين من كروم.

---

<div id='thevulnerability-impact'/>

### ***💥 التأثير ومتطلبات الاستغلال***

وصف NVD محدد بشأن قيد مهم واحد: يتطلب الاستغلال أن يكون المهاجم قد اخترق بالفعل عملية العرض. هذا يعني أن CVE-2026-5281 ليس RCE مستقلًا بنقرة واحدة من بداية باردة، بل هو هروب من الصندوق الرملي يصبح جزءًا من سلسلة.

عمليًا، ستبدو سلسلة الهجوم الكاملة كما يلي:```
Initial access       ← some other vulnerability gets code running in the renderer
		↓
CVE-2026-5281        ← UAF in Dawn used to escape the renderer sandbox
		↓
Arbitrary code       ← execution in a higher-privilege Chrome process or OS context

📅 الجدول الزمني

لم يظهر CVE-2026-5281 بمعزل عن الآخرين. كانت رابع ثغرة يوم-صفر في Chrome لعام 2026، وهو العام الذي كان بالفعل في طريقه لتجاوز العدد الإجمالي لثغرات اليوم-الصفر لعام 2025 والبالغ ثمانية قبل نهاية الربع الأول.

نفس الباحث المجهول الذي أبلغ عن CVE-2026-5281 أبلغ أيضًا عن ثلاث ثغرات أخرى في الإطار الزمني المحيط (CVE-2026-4675 و CVE-2026-4676 و CVE-2026-5284، وآخر اثنتين هما أيضًا UAF في Dawn). يشير هذا إلى جهد بحثي مركز ومستمر يستهدف على وجه التحديد إدارة الذاكرة في Dawn.

📊 النتائج الملحوظة

قام الباحث بتشغيل الإثبات على كل من تثبيت Chrome الضعيف والمصحح ولاحظ انقسامًا سلوكيًا واضحًا:

تشغيل النسخة الضعيفة (Chrome < 146.0.7680.178):``` [INFO] CVE-2026-5281 AGGRESSIVE PoC Loaded [INFO] Initializing WebGPU context... [INFO] WebGPU device initialized [INFO] Starting aggressive UAF attacks... [ERROR] UNCAUGHT GPU ERROR: device lost due to internal error [CRASH] GPU DEVICE LOST: destroyed [CRASH] [!!!] CRASH DETECTED! Check console for details.

توقفت عملية Chrome المستهدفة عن العرض تمامًا. شهد نظام التشغيل تجميدًا بصريًا قصيرًا، وهو ما يتوافق مع اضطرار برنامج تشغيل العرض إلى إعادة التعيين أو إيقاف المعالجة بعد خطأ وحدة معالجة الرسومات. تم تعيين حدث فقدان الجهاز إلى خطأ فادح في وحدة معالجة الرسومات بدلاً من خطأ التحقق من صحة واجهة برمجة تطبيقات WebGPU القياسي، مما يؤكد أن تخطيط الذاكرة التالف وصل إلى طبقة الأجهزة دون أن يتم اكتشافه بواسطة وضع الحماية من جانب JavaScript في Chrome.

**تشغيل مصحح (Chrome >= 146.0.7680.178):**```
[INFO]  CVE-2026-5281 AGGRESSIVE PoC Loaded
[INFO]  Initializing WebGPU context...
[INFO]  WebGPU device initialized
[INFO]  Starting aggressive UAF attacks...
[INFO]  Max attempts reached without crash
[INFO]  Either browser is patched or target build not affected

لا يوجد تعطل، ولا فقدان للجهاز، ولا إشارات GPU قاتلة عبر جميع المحاولات. الإصلاح صامد.

🔬 نتائج المختبر

تم التقاط اللقطات التالية أثناء اختبار مجموعة الأدوات في المختبر ضد كل من إصدار Chrome الضعيف وإصدار Chrome المُصحَّح للاختبار على جهاز ويندوز مزود ببطاقة رسومات مدمجة Intel gen-12lp. تم تشغيل كل أداة ضد كلا الهدفين للتحقق من الفرق السلوكي.

---

🖥️ لقطات الأدوات

01 - كاشف الإصدار

ضعيف (< 146.0.7680.178)	مُصحَّح (>= 146.0.7680.178)

02 - فاحص الثغرات

💥 رفض الخدمة

قمنا بنجاح بإعادة إنتاج هجوم رفض الخدمة ضد تثبيت Chrome ضعيف في بيئة مختبرية محكومة. يتسبب مشغل UAF في تشبع GPU بنسبة 100% حيث يمنع قائمة الأوامر المكدسة بشدة برنامج التشغيل من خدمة طلبات إدارة الذاكرة الجديدة. خلال بعض عمليات التشغيل، دخلت عملية GPU في حالة خطأ غير قابلة للاسترداد، مما أنتج التأثيرات القابلة للملاحظة التالية:

• تجميد بصري على مستوى نظام التشغيل يتوافق مع إعادة تعيين TDR (كشف المهلة والاسترداد) لبرنامج تشغيل العرض
• خطأ DXGI_ERROR_DEVICE_HUNG (0x887A0006) ينتشر من D3D12 عبر Dawn إلى المُقدِّم
• حل وعد device.lost الخاص بـ Chrome مع سبب "unknown" ورسالة DXGI_ERROR_DEVICE_HUNG في تتبع النهاية الخلفية لـ Dawn
• فقدان كامل لسياق WebGPU لتلك التبويبة

يؤكد تشبع GPU والاستثناء العرضي أن تلف الذاكرة يصل إلى طبقة العتاد: يتم الوصول إلى مقبض المخزن المؤقت المُحرَّر بواسطة تنفيذ التظليل الجاري، يتعطل GPU، وتظهر آلية TDR الخاصة بـ D3D12 كحدث إزالة جهاز. أكمل الإصدار المُصحَّح نفس حجم العمل بشكل نظيف دون أي إشارة تعطل من أي نوع.