CVE-2026-3909 क्रोमियम ब्राउज़र PoC

इस रिपॉजिटरी में CVE-2026-3909 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) शामिल है जिसे क्रोमियम ब्राउज़र में विश्वसनीय रूप से ट्रिगर किया जा सकता है।

पृष्ठभूमि

इस भेद्यता के लिए आधिकारिक Skia फिक्स में केवल एक सरलीकृत प्रदर्शन परीक्षण मामला शामिल था:

• आधिकारिक डेमो: AtlasOobTest.cpp

यह वास्तविक क्रोमियम वातावरण में नहीं चल सकता। आधिकारिक डेमो जानबूझकर सीमित था और इसमें प्रमुख ट्रिगरिंग शर्तों को छोड़ दिया गया था।
यह PoC आधिकारिक डेमो पर आधारित है और इसे वास्तविक क्रोमियम ब्राउज़र वातावरण में भेद्यता को विश्वसनीय रूप से ट्रिगर करने के लिए संशोधित किया गया है।

शामिल पैच

इस PoC में निम्नलिखित फाइलों में संशोधन शामिल हैं:

1. raster_implementation.cc.patch

पथ: /src/gpu/command_buffer/client/raster_implementation.cc

2. SkChromeRemoteGlyphCache.cpp.patch

पथ: /src/third_party/skia/src/text/gpu/SkChromeRemoteGlyphCache.cpp

3. अन्य

दो मौजूदा पैच फाइलों के अतिरिक्त, आप DrawAtlas::hasID() फ़ंक्शन के अंदर डिबगिंग कोड भी जोड़ सकते हैं। यह आपको विश्लेषण और निरीक्षण करने की अनुमति देता है कि abort क्यों ट्रिगर हो रहा है।``` bool hasID(const skgpu::PlotLocator& plotLocator) { if (!plotLocator.isValid()) { return false; }

    uint32_t plot = plotLocator.plotIndex();
    uint32_t page = plotLocator.pageIndex();
    // patch code
    printf("[*] POC plot idx: %x fNumPlots: %x\n", plot, fNumPlots);
    // origin code
    uint64_t plotGeneration = fPages[page].fPlotArray[plot]->genID();
    uint64_t locatorGeneration = plotLocator.genID();
    return plot < fNumPlots && page < fNumActivePages && plotGeneration == locatorGeneration;
}

आउटपुट:```
[*] POC plot idx: 1f fNumPlots: 10

Git log

Chromium:``` commit e00a64ead1abef9447943efede7bc26362ac3797 (HEAD -> 146.0.7680.71, tag: 146.0.7680.71) Author: Roger McFarlane [email protected] Date: Mon Mar 9 12:52:01 2026 -0700

[M146-desktop-respin] Make LimitedLayerEntropyCostTracker time-aware.

This change modifies the LimitedLayerEntropyCostTracker to account for
the entropy cost of studies that are active at a specific evaluation
time. The evaluation time is passed to the tracker's constructor and is
used to check against the study's filter dates and Google web visibility
dates.

The current time for entropy evaluation is sourced from
VariationsIdsProvider.

(cherry picked from commit 2ec2c50b47686def251947a2675a207863803cac)

Bug: 490248046, 490432663
Change-Id: I3174730f35b037d533bf10b2b1d0531e3781acfe
Reviewed-on: https://chromium-review.googlesource.com/c/chromium/src/+/7639358
Reviewed-by: Alexei Svitkine <[email protected]>
Commit-Queue: Alexei Svitkine <[email protected]>
Cr-Original-Commit-Position: refs/heads/main@{#1595543}
Reviewed-on: https://chromium-review.googlesource.com/c/chromium/src/+/7637760
Bot-Commit: Rubber Stamper <[email protected]>
Cr-Commit-Position: refs/branch-heads/7680_65@{#23}
Cr-Branched-From: efe36a9d42443b4091a5be1be21e93ceff9b7a5e-refs/branch-heads/7680@{#1898}
Cr-Branched-From: 76b7d80e5cda23fe6537eed26d68c92e995c7f39-refs/heads/main@{#1582197}

## बिल्ड आर्ग्स```
# Set build arguments here. See `gn help buildargs`.
is_official_build = false
is_debug = true  
symbol_level = 2
v8_symbol_level = 2
blink_symbol_level = 2
is_component_build = false  
proprietary_codecs = true   
ffmpeg_branding = "Chrome"  
v8_enable_sandbox = true
dcheck_always_on = true
optimize_webui = true
target_os = "linux"
target_cpu = "x64"

उपयोग

1. क्रोमियम के एक कमजोर संस्करण पर दो पैच फ़ाइलें लागू करें।
2. ब्राउज़र खोलें chrome <path>/trigger.html

रद्द करें```

gen/third_party/libc++/src/include/__memory/unique_ptr.h:578: libc++ Hardening assertion _checker.__in_bounds<deleter_type>(std::__to_address(_ptr), __i) failed: unique_ptr<T[]>::operator: index out of range Received signal 6