Fasi di avanzamento — quattro linee di lavoro: indagine (informazioni pubbliche) · indagine (patch e diff) · analisi (riproduzione e verifica) · report (sintesi di apprendimento). Tutte e quattro sono state completate.

Elementi confermati

• Identificatore CVE e stato (pubblicata), CNA (Chrome/Google), prodotto interessato (Google Chrome), componente interessato (Dawn).
• Versione corretta 150.0.7871.47 e commit di correzione (Dawn 43055cbe…), 3 file modificati e relative motivazioni.
• Nella revisione vulnerabile non c'è alcuna verifica dei vincoli di specifica, imposizione o test di regressione; nella revisione corretta ci sono tutti — confermato tramite confronto statico dei due snapshot Dawn effettivamente fissati da Chrome (cases/20260804-cve-2026-13934-4d10a8/report.md §3).

Elementi non ancora confermati (non abbiamo colmato le lacune con congetture)

• Nessuna osservazione a livello di esecuzione — non abbiamo compilato le due revisioni né eseguito test unitari. L'output effettivo dei messaggi di errore di convalida, i parametri VkSampler generati e i report VUID del livello di validazione Vulkan sono valori attesi basati sull'analisi del codice (cases/…-4d10a8/report.md §4).
• Piattaforma interessata — la descrizione della CVE indica "on Android", ma l'avviso del vendor che riporta la CVE è un avviso del canale desktop. Non abbiamo verificato se lo stesso percorso sussista anche sul desktop.
• Confine delle versioni impattate — i tag Chromium 150.0.7871.46, .47 e .63 fissano tutti la stessa revisione Dawn, ma la CVE riporta "prior to .47". Non siamo riusciti a verificare la base di questa dicitura.
• Completezza della correzione — c'è stato un solo commit lato Dawn che fa riferimento al bug, ma non abbiamo condotto un'indagine esaustiva su eventuali modifiche di accompagnamento lato Chromium src.
• Analisi interna del vendor — l'issue Chromium 513006636, che contiene la causa, è in stato di accesso limitato.

Gravità — varia a seconda della fonte. La valutazione del vendor (Chromium) stesso è Medium, il CVSS v3.1 di CISA-ADP è 9.6 CRITICAL (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) e non esiste una valutazione NVD autonoma. Le riportiamo affiancate senza giudicare quale sia corretta — l'interpretazione è in docs/cve-2026-13934/overview.md.

Questo repository non contiene servizi distribuiti (API, backend, database, ecc.). Tutti gli artefatti sono documenti.

Conclusioni principali

1. Causa — non sono state verificate le precondizioni richieste dalla specifica

La specifica Vulkan richiede che, per i sampler con trasformazione YCbCr, la modalità di indirizzamento di tutti gli assi sia CLAMP_TO_EDGE e che il filtraggio anisotropo (anisotropy) sia disattivato (VUID-VkSamplerCreateInfo-addressModeU-01646). Prima della patch, Dawn non verificava questo vincolo, quindi i parametri fuori specifica potevano superare la convalida e arrivare fino alla creazione del VkSampler.

L'elemento decisivo è il modello di minaccia. La descrizione pubblica presuppone un attaccante che ha già compromesso il processo renderer ("a remote attacker who had compromised the renderer process"). Da quella posizione si possono manipolare direttamente i comandi tra processi, non il normale percorso delle API web, quindi la convalida lato renderer è al di fuori del confine di fiducia. E il backend Vulkan di Dawn opera nel processo GPU, che ha privilegi più elevati del renderer — per questo il difetto diventa una superficie di escape dalla sandbox.

Base: cases/20260804-cve-2026-13934-4d10a8/root_cause.md §2 · Dettagli: docs/cve-2026-13934/root-cause-and-fix.md

2. Correzione — non ci si è limitati a un solo strato di convalida

Il commit di correzione è Dawn 43055cbeadddca41a9c973a809f859d641077b2f ("Add YCbCr sampler validation", 2026-05-27, Bug: 513006636) e modifica tre file.

Questa struttura è il cuore della CVE. Poiché si presuppone che il renderer sia già compromesso, la sola convalida non basta: è il secondo strato, che impone i valori dal lato con privilegi più elevati, a costituire la linea di blocco effettiva. Riassumere come "mancava la convalida dell'input e quindi è stata aggiunta" farebbe perdere il punto centrale del progetto difensivo.

La dimensione della modifica è 53 righe aggiunte, 0 cancellate — una patch che colma i controlli mancanti senza modificare la logica esistente.

Base: research/20260804-cve-2026-13934-diff-92f928/report.md §3·§4 · cases/20260804-cve-2026-13934-4d10a8/patch_diff.md §4

3. Verifica — confermato fino al livello statico

Abbiamo confrontato il codice sorgente dei due snapshot Dawn effettivamente fissati da Chrome.

Ciò che emerge qui: anche nel lato vulnerabile il ramo YCbCr e 2 controlli erano già presenti. Il difetto non era un percorso mancante, ma l'omissione del controllo del vincolo condizionale all'interno del ramo.

Poiché non abbiamo compilato né eseguito, le due voci seguenti sono attese basate sull'analisi del codice, non misurazioni.

Base: cases/20260804-cve-2026-13934-4d10a8/report.md §1~§4 · Dettagli: docs/cve-2026-13934/evidence.md

4. Lezioni apprese

Dal punto di vista della progettazione della sicurezza

• I valori che attraversano un confine di fiducia vanno gestiti nuovamente dalla parte ricevente. La convalida lato client/renderer serve per comodità e diagnosi; all'interno del confine di privilegio i valori vanno verificati o imposti.
• Le "precondizioni richieste dalla specifica" non vengono rispettate se non sono imposte nel codice. I vincoli condizionali vanno gestiti nel ramo in cui la condizione sussiste; in questo caso il ramo esisteva, mancava solo il controllo.
• Rifiuto (reject) e correzione (clamp) hanno ruoli diversi. Questa patch rifiuta nel percorso normale e applica la correzione ai valori che provengono dall'esterno del confine di fiducia.
• Non giudicare basandosi su una sola gravità. Per la stessa vulnerabilità coesistono il grado Medium del vendor e il CVSS 9.6 CRITICAL. Il rischio reale emerge solo leggendo insieme le precondizioni (compromissione preventiva del renderer).
• Non invertire la direzione del segnale di rilevamento. I messaggi di errore di convalida si verificano solo dopo la patch. Il ragionamento "non c'è quell'errore nei log, quindi è sicuro" è capovolto.

Dal punto di vista metodologico dell'indagine

• Si può tracciare anche se il link di riferimento della CVE non contiene la patch. Abbiamo trovato il commit di correzione seguendo: numero di bug nell'avviso del vendor → tag di confronto delle release → revisione del componente in DEPS → ricerca del numero di bug nel log dei commit del componente. Procedura: research/20260804-cve-2026-13934-diff-92f928/sources.md §6.
• Il test di regressione è la migliore specifica osservabile. Il test allegato alla patch definisce "quale risultato per quale input", quindi è possibile verificare la differenza prima/dopo senza una riproduzione rischiosa.
• Non mescolare ciò che è confermato con ciò che è ipotizzato. Gli artefatti di questo repository non lasciano vuote le voci non verificate, ma le riportano come "non verificato + motivo".

Dettagli: docs/cve-2026-13934/lessons.md

Artefatti

Documenti di apprendimento (docs/)

Indagine — informazioni pubbliche e ambito di impatto (research/20260804-cve-2026-13934-6bacf7/)

Indagine — confronto patch/diff (research/20260804-cve-2026-13934-diff-92f928/)

Analisi — riproduzione e verifica (a scopo di apprendimento) (cases/20260804-cve-2026-13934-4d10a8/)

Report (reports/20260804-cve-2026-13934-8400bc/)

Fonti primarie esterne (sintesi)

• CVE Record: https://www.cve.org/CVERecord?id=CVE-2026-13934
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-13934
• Avviso del vendor: Chrome Releases "Stable Channel Update for Desktop" (2026-06-30)
• Commit di correzione: https://dawn.googlesource.com/dawn/+/43055cbeadddca41a9c973a809f859d641077b2f

L'elenco completo con date di pubblicazione e identificatori è nei file sources.md delle due linee di indagine.

Raccolta periodica: research/topics/<topic>/

Regole (sintesi)

• Committare solo testo. Vietati binari, dump e screenshot. Ogni file ≤ 1 MiB.
• Percorsi consentiti: research/ · cases/ · work/ · reports/ · docs/ · .laurelin/ · .github/
• Nessun commit diretto da parte di persone: le istruzioni partono dal progetto di lavoro Laurelin → Aule committa.
• Convenzioni dettagliate: docs/conventions.md