sm1ee/cve-2026-91737Proof-of-Concept für CVE-2026-91737, einen Use-after-Free in PDFium im PDF-Renderer von Chrome, der eine ASLR-Umgehung und die Ausführung von ARM64-Payloads innerhalb der Sandbox ermöglicht.
Eine reentrante PDF-JavaScript-Aktion entlädt CPDF_Page, während Chromiums PopulateAnnotationLinks() noch dessen rohen Seiten-Handle hält. Dieser PoC beansprucht die Allokation erneut, umgeht ASLR und führt eine vom Angreifer bereitgestellte 40-Byte-ARM64-Payload im sandboxed PDF-Renderer aus. Die Payload schreibt einen Sentinel und kehrt zum PDF-Scripting zurück.
Chromium-Issue 558036280 · Öffentliches Exploit-Update und Anhänge
Getestet auf unverändertem Chrome Beta 154.0.8037.0, macOS 26.2 arm64. Der SHA-256 des Chrome Framework war 280c15c95811fcf799c91e7c307fc941cc61be1f156247d86d9856ead0e06062. Das Issue ist behoben; dieser PoC verwendet Offsets für den getesteten Build. Er erfordert PDF-Barrierefreiheit. Das folgende Flag macht diesen Einstieg deterministisch und lässt die Renderer-Sandbox aktiviert.
python3 oracle_server.py --port 8000 --root serve --events ./rce-events.jsonl
In einem anderen Terminal:
"/Applications/Google Chrome Beta.app/Contents/MacOS/Google Chrome Beta" \
--user-data-dir="$(mktemp -d /tmp/plc01-rce.XXXXXX)" \
--no-first-run --no-default-browser-check \
--disable-background-networking --disable-component-update --disable-sync \
--force-renderer-accessibility --enable-logging=stderr --v=1 \
http://127.0.0.1:8000/quick/poc.html
Ein Erfolg endet mit SELFCONTAINED_MAPJIT_NATIVE_PAYLOAD_SENTINEL_COMPLETE. Der verifizierte Lauf dauerte etwa 21 Minuten. Fehlgeschlagene ASLR-Probes lassen PDF-Renderer-Instanzen absichtlich abstürzen.
Umfang: native Codeausführung im sandboxed PDF-Renderer. Es wird weder eine Kompromittierung des Browser-Prozesses noch eine Sandbox-Escape beansprucht.