Chromium CVE-2025-2783: सैंडबॉक्स एस्केप और फुल-चेन RCE एक्सप्लॉइट

इस रिपॉजिटरी में CVE-2025-2783 के लिए एक फुल-चेन एक्सप्लॉइट इम्प्लीमेंटेशन है। यह भेद्यता Chromium की Ipcz संचार परत में मौजूद है, जो हमलावर को प्रतिबंधित रेंडरर प्रोसेस से सैंडबॉक्स एस्केप और आर्बिट्ररी कोड एक्सीक्यूशन प्राप्त करने की अनुमति देती है। यह एक्सप्लॉइट 134.0.6998.177 तक के वर्जन को सपोर्ट करता है।

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. प्रोजेक्ट संरचना

• src/: कोर एक्सप्लॉइट इम्प्लीमेंटेशन। इसमें CVE-2025-2783 के लिए Ipcz हाइजैकिंग लॉजिक, V8 हुक और थ्रेड हाइजैकिंग एग्ज़ीक्यूशन फ्लो शामिल है।
• demo/: फुल-चेन डिमॉन्स्ट्रेशन वातावरण। यह एक HTML फ़ाइल के माध्यम से V8 टाइप कन्फ्यूज़न भेद्यता को ट्रिगर करता है और src/ से संकलित बाइनरी पेलोड को लोड करता है, जिससे रेंडरर प्रोसेस से शेलकोड एग्ज़ीक्यूशन तक की पूरी श्रृंखला पूरी होती है।

2. भेद्यता पृष्ठभूमि (CVE-2025-2783)

• कंपोनेंट: third_party/ipcz (Chromium का Ipcz ट्रांसपोर्ट प्रोटोकॉल इम्प्लीमेंटेशन)
• मूल कारण: Ipcz में RelayMessage प्रोसेस करते समय क्रॉस-प्रोसेस हैंडल के लिए कठोर स्रोत और अनुमति सत्यापन का अभाव है।
• प्रभाव: एक समझौता किया गया रेंडरर प्रोसेस ब्राउज़र प्रोसेस (Broker) को उच्च-विशेषाधिकार वाले थ्रेड हैंडल को रिले करने के लिए प्रेरित कर सकता है, जिससे सैंडबॉक्स प्रतिबंध प्रभावी रूप से बायपास हो जाते हैं।

3. एक्सप्लॉइट श्रृंखला

1. सिग्नल इंटरसेप्शन: V8Console::Debug को हुक करके demo/ वातावरण में JavaScript से सिग्नल इंटरसेप्ट करता है, और ArrayBuffer से दूसरे चरण के शेलकोड को सुरक्षित रूप से निकालता है।
2. भेद्यता ट्रिगर: OnAcceptRelayedMessage को हुक करता है और CVE-2025-2783 के माध्यम से उच्च-विशेषाधिकार वाला हैंडल प्राप्त करने के लिए एक नकली रिले अनुरोध (Message ID: 0x69) तैयार करता है।
3. थ्रेड हाइजैकिंग:
   • लक्षित उच्च-विशेषाधिकार वाले थ्रेड को सस्पेंड करता है।
   • SetThreadContext का उपयोग करके रजिस्टर स्थिति को जबरन संशोधित करता है।
   • शेलकोड को निष्पादित करने के लिए लक्षित संदर्भ में क्रमिक रूप से VirtualAlloc, ReadProcessMemory और CreateThread को कॉल करता है।

4. बिल्ड और डिमॉन्स्ट्रेशन

कोर लाइब्रेरी निर्माण (src/)

चूँकि कोड Chromium की आंतरिक ipcz और mojo लाइब्रेरीज़ पर गहराई से निर्भर करता है, इसलिए यह अत्यधिक अनुशंसित है कि src/ डायरेक्टरी को Chromium सोर्स ट्री में एकीकृत किया जाए और इसे GN और Ninja का उपयोग करके बिल्ड किया जाए ताकि सभी आंतरिक निर्भरताएँ सही ढंग से लिंक हो सकें।

फुल-चेन डेमो (demo/)

1. संगतता: वर्तमान में केवल Chrome v128 पर परीक्षण किया गया है; एक्सप्लॉइट की प्रकृति के कारण, यह केवल Windows सिस्टम पर लागू होता है।
2. तैयारी: सुनिश्चित करें कि src/ से बाइनरी आर्टिफैक्ट तैयार हैं (demo/ डायरेक्टरी में पहले से संकलित payload.bin और shellcode.bin उपलब्ध हैं)।
3. निष्पादन: demo/ डायरेक्टरी में python -m http.server चलाएँ, फिर ब्राउज़र में http://127.0.0.1:8000/exp.html पर जाएँ।
4. परिणाम: डिमॉन्स्ट्रेशन स्क्रिप्ट स्वचालित रूप से बाइनरी पेलोड लोड करेगी और सिस्टम पर पूर्वनिर्धारित शेलकोड निष्पादित करेगी।

5. संदर्भ

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. अस्वीकरण

यह रिपॉजिटरी केवल शैक्षणिक और सुरक्षा अनुसंधान उद्देश्यों के लिए है। इस कोड के उपयोग से होने वाली किसी भी हानि या कानूनी देयता के लिए लेखक जिम्मेदार नहीं है। कृपया केवल अधिकृत वातावरण में ही परीक्षण करें।