• Composant : third_party/ipcz (implémentation du protocole de transport Ipcz de Chromium)
• Cause racine : Ipcz manque de validation rigoureuse de la source et des permissions pour les handles inter-processus lors du traitement de RelayMessage.
• Impact : Un processus de rendu compromis peut amener le processus navigateur (Broker) à relayer des handles de thread à privilèges élevés, contournant ainsi les restrictions du sandbox.

3. Chaîne d'exploitation

1. Interception de signal : Intercepte les signaux depuis JavaScript dans l'environnement demo/ en hookant V8Console::Debug, extrayant de manière sécurisée la shellcode de deuxième étape depuis un ArrayBuffer.
2. Déclenchement de la vulnérabilité : Hooke OnAcceptRelayedMessage et construit une demande de relais falsifiée (ID de message : 0x69) pour obtenir un handle à privilèges élevés via CVE-2025-2783.
3. Détournement de thread :
   • Suspend le thread cible à privilèges élevés.
   • Modifie de force l'état des registres en utilisant SetThreadContext.
   • Appelle séquentiellement VirtualAlloc, ReadProcessMemory et CreateThread dans le contexte cible pour exécuter la shellcode.

4. Construction et démonstration

Construction de la bibliothèque principale (src/)

Étant donné que le code dépend profondément des bibliothèques internes ipcz et mojo de Chromium, il est fortement recommandé d'intégrer le répertoire src/ dans l'arborescence source de Chromium et de le construire en utilisant GN et Ninja pour garantir que toutes les dépendances internes soient correctement liées.

Démonstration à chaîne complète (demo/)

1. Compatibilité : Actuellement testé uniquement sur Chrome v128 ; en raison de la nature de l'exploit, il n'est applicable que sur les systèmes Windows.
2. Préparation : Assurez-vous que les artefacts binaires de src/ sont prêts (les fichiers payload.bin et shellcode.bin pré-compilés sont déjà fournis dans le répertoire demo/).
3. Exécution : Lancez python -m http.server dans le répertoire demo/, puis naviguez vers http://127.0.0.1:8000/exp.html dans le navigateur.
4. Résultat : Le script de démonstration chargera automatiquement la charge binaire et exécutera la shellcode prédéfinie sur le système.

5. Références

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. Avertissement

Ce dépôt est destiné uniquement à des fins de recherche académique et de sécurité. L'auteur n'est pas responsable des pertes ou des responsabilités légales causées par l'utilisation de ce code. Veuillez effectuer les tests uniquement dans des environnements autorisés.