CVE-2026-91737 — Chrome रेंडरर RCE (PDFium)

एक रीएंट्रेंट PDF JavaScript एक्शन CPDF_Page को अनलोड कर देता है, जबकि Chromium का PopulateAnnotationLinks() उसका रॉ पेज हैंडल थामे रहता है। यह PoC उस एलोकेशन को पुनः प्राप्त करता है, ASLR को रिकवर करता है, और सैंडबॉक्स्ड PDF रेंडरर में हमलावर द्वारा दिए गए 40-बाइट ARM64 पेलोड को निष्पादित करता है। पेलोड एक सेंटिनल लिखता है और PDF स्क्रिप्टिंग में लौट आता है।

Chromium issue 558036280 · सार्वजनिक एक्सप्लॉइट अपडेट और अटैचमेंट

अपरिवर्तित Chrome Beta 154.0.8037.0, macOS 26.2 arm64 पर परीक्षण किया गया। Chrome Framework का SHA-256 280c15c95811fcf799c91e7c307fc941cc61be1f156247d86d9856ead0e06062 था। यह समस्या ठीक कर दी गई है; यह PoC परीक्षित बिल्ड के लिए ऑफ़सेट का उपयोग करता है। इसके लिए PDF एक्सेसिबिलिटी आवश्यक है। नीचे दिया गया फ़्लैग उस प्रवेश को नियतात्मक बनाता है और रेंडरर सैंडबॉक्स सक्षम ही रहने देता है।

चलाएँ

python3 oracle_server.py --port 8000 --root serve --events ./rce-events.jsonl

दूसरे टर्मिनल में:

"/Applications/Google Chrome Beta.app/Contents/MacOS/Google Chrome Beta" \
  --user-data-dir="$(mktemp -d /tmp/plc01-rce.XXXXXX)" \
  --no-first-run --no-default-browser-check \
  --disable-background-networking --disable-component-update --disable-sync \
  --force-renderer-accessibility --enable-logging=stderr --v=1 \
  http://127.0.0.1:8000/quick/poc.html

सफलता SELFCONTAINED_MAPJIT_NATIVE_PAYLOAD_SENTINEL_COMPLETE के साथ समाप्त होती है। सत्यापित रन में लगभग 21 मिनट लगे। विफल ASLR प्रोब जानबूझकर PDF रेंडरर इंस्टेंस को क्रैश करते हैं।

दायरा: सैंडबॉक्स्ड PDF रेंडरर में नेटिव कोड निष्पादन। ब्राउज़र-प्रोसेस समझौता या सैंडबॉक्स एस्केप का कोई दावा नहीं है।