CVE-2026-85048 — UAF de surface viz (processus GPU)

Un autre qui déclenche un UAF très difficile à exploiter. Le BackupRefPtr va l'écraser. De plus, comme cela se situe dans l'étape 2, il faut patcher pour le voir se produire.

• La réentrance dans Surface::UpdateActivationDependencies() stocke un pointeur de groupe d'allocation obsolète.
• Le déclencheur est une simple métadonnée CompositorFrame : deps [S1, S2-newer] + une directive de transition de vue.
• Sans la directive : le GPU fait un CHECK(pending_frame_data_) abort à la place (DoS facile).
• Le groupe est libéré par le GC ~20s plus tard ; la frame suivante le déréférence. UAF ASAN au niveau unitaire et dans un vrai navigateur.
• Vulnérable 152.0.7977.75, corrigé .82 (1e944c7f193). Le correctif porté manuellement s'exécute proprement.
• En production : BackupRefPtr l'écrase — registres remplis de efefefefefefefef.

Exécution

git apply reproducer-test.patch && autoninja -C out/asan viz_unittests
out/asan/viz_unittests --gtest_filter='*ReentrantActivationStale*' --single-process-tests

git apply stage2-renderer.patch && autoninja -C out/asan content_shell
content_shell --enable-logging=stderr trigger.html                  # ASAN UAF
content_shell --enable-logging=stderr trigger.html?variant=check    # CHECK abort