CVE-2026-85048 — viz सरफेस UAF (GPU प्रक्रिया)

एक और ऐसा मामला जो बहुत कठिन उपयोग वाला UAF ट्रिगर करता है। BackupRefPtr इसे खत्म कर देगा। साथ ही, यह stage 2 में होने के कारण, इसे होते देखने के लिए आपको पैच करना होगा।

• Surface::UpdateActivationDependencies() में re-entrancy एक stale allocation-group pointer संग्रहीत करती है।
• ट्रिगर सामान्य CompositorFrame metadata है: deps [S1, S2-newer] + एक view-transition directive।
• directive के बिना: GPU CHECK(pending_frame_data_) abort करता है (आसान DoS)।
• Group को GC द्वारा ~20s बाद मुक्त किया जाता है; अगला frame उसे deref करता है। unit स्तर पर और वास्तविक browser में ASAN UAF।
• Vulnerable 152.0.7977.75, fixed .82 (1e944c7f193)। हाथ से port किया गया fix साफ चलता है।
• Production: BackupRefPtr इसे खत्म कर देता है — registers efefefefefefefef से भरे हुए।

Run

git apply reproducer-test.patch && autoninja -C out/asan viz_unittests
out/asan/viz_unittests --gtest_filter='*ReentrantActivationStale*' --single-process-tests

git apply stage2-renderer.patch && autoninja -C out/asan content_shell
content_shell --enable-logging=stderr trigger.html                  # ASAN UAF
content_shell --enable-logging=stderr trigger.html?variant=check    # CHECK abort