Chromium CVE-2025-2783: Sandbox-Escape & Full-Chain-RCE-Exploit

Dieses Repository enthält eine Full-Chain-Exploit-Implementierung für CVE-2025-2783. Die Schwachstelle liegt in der Ipcz-Kommunikationsschicht von Chromium und ermöglicht es einem Angreifer, einen Sandbox-Escape und die Ausführung beliebigen Codes aus einem eingeschränkten Renderer-Prozess zu erreichen. Dieser Exploit unterstützt Versionen bis 134.0.6998.177.

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. Projektstruktur

• src/: Kernimplementierung des Exploits. Sie enthält die Ipcz-Hijacking-Logik, V8-Hooks und den Thread-Hijacking-Ausführungsablauf für CVE-2025-2783.
• demo/: Vollständige Demonstrationsumgebung. Sie löst über eine HTML-Datei eine V8-Type-Confusion-Schwachstelle aus und lädt die aus src/ kompilierte Binär-Payload, wodurch die gesamte Kette vom Renderer-Prozess bis zur Shellcode-Ausführung vervollständigt wird.

2. Hintergrund der Schwachstelle (CVE-2025-2783)

• Komponente: third_party/ipcz (Chromiums Implementierung des Ipcz-Transportprotokolls)
• Grundursache: Ipcz führt bei der Verarbeitung von RelayMessage keine strenge Quell- und Berechtigungsvalidierung für prozessübergreifende Handles durch.
• Auswirkung: Ein kompromittierter Renderer-Prozess kann den Browser-Prozess (Broker) dazu veranlassen, hochprivilegierte Thread-Handles weiterzuleiten, wodurch Sandbox-Beschränkungen effektiv umgangen werden.

3. Exploit-Kette

1. Signal-Interception: Fängt Signale aus JavaScript in der demo/-Umgebung ab, indem V8Console::Debug gehookt wird, und extrahiert sicher den Second-Stage-Shellcode aus einem ArrayBuffer.
2. Auslösen der Schwachstelle: Hookt OnAcceptRelayedMessage und konstruiert eine gefälschte Relay-Anfrage (Message-ID: 0x69), um über CVE-2025-2783 ein hochprivilegiertes Handle zu erhalten.
3. Thread-Hijacking:
   • Setzt den hochprivilegierten Ziel-Thread aus.
   • Ändert den Registerstatus gewaltsam mit SetThreadContext.
   • Ruft nacheinander VirtualAlloc, ReadProcessMemory und CreateThread im Zielkontext auf, um den Shellcode auszuführen.

4. Build & Demonstration

Erstellung der Kernbibliothek (src/)

Da der Code stark von den internen ipcz- und mojo-Bibliotheken von Chromium abhängt, wird dringend empfohlen, das Verzeichnis src/ in den Chromium-Quellbaum zu integrieren und es mit GN und Ninja zu kompilieren, um sicherzustellen, dass alle internen Abhängigkeiten korrekt verlinkt sind.

Full-Chain-Demo (demo/)

1. Kompatibilität: Derzeit nur auf Chrome v128 getestet; aufgrund der Natur des Exploits ist er nur auf Windows-Systemen anwendbar.
2. Vorbereitung: Stellen Sie sicher, dass die Binärdateien aus src/ bereitstehen (vorkompilierte payload.bin und shellcode.bin sind bereits im Verzeichnis demo/ enthalten).
3. Ausführung: Führen Sie python -m http.server im Verzeichnis demo/ aus und navigieren Sie dann im Browser zu http://127.0.0.1:8000/exp.html.
4. Ergebnis: Das Demonstrationsskript lädt automatisch die Binär-Payload und führt den vordefinierten Shellcode auf dem System aus.

5. Referenzen

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. Haftungsausschluss

Dieses Repository dient ausschließlich akademischen und sicherheitstechnischen Forschungszwecken. Der Autor übernimmt keine Verantwortung für Verluste oder rechtliche Verbindlichkeiten, die durch die Verwendung dieses Codes entstehen. Bitte führen Sie Tests nur in autorisierten Umgebungen durch.