Chromium CVE-2025-2783: Fuga dalla Sandbox ed Exploit RCE a Catena Completa

Questo repository contiene un'implementazione di exploit a catena completa per CVE-2025-2783. La vulnerabilità risiede nel livello di comunicazione Ipcz di Chromium e consente a un attaccante di ottenere la fuga dalla sandbox e l'esecuzione arbitraria di codice da un processo renderer limitato. Questo exploit supporta versioni fino alla 134.0.6998.177.

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. Struttura del Progetto

• src/: Implementazione principale dell'exploit. Include la logica di hijacking di Ipcz, gli hook V8 e il flusso di esecuzione dell'hijacking dei thread per CVE-2025-2783.
• demo/: Ambiente dimostrativo a catena completa. Attiva una vulnerabilità V8 Type Confusion tramite un file HTML e carica il payload binario compilato da src/, completando l'intera catena dal processo renderer all'esecuzione dello Shellcode.

2. Contesto della Vulnerabilità (CVE-2025-2783)

• Componente: third_party/ipcz (implementazione del protocollo di trasporto Ipcz di Chromium)
• Causa principale: Ipcz non esegue una rigorosa validazione di origine e permessi per gli handle cross-process quando elabora RelayMessage.
• Impatto: Un processo renderer compromesso può indurre il processo browser (Broker) a inoltrare handle di thread ad alto privilegio, bypassando di fatto le restrizioni della sandbox.

3. Catena dell'Exploit

1. Intercettazione dei segnali: Intercetta i segnali da JavaScript nell'ambiente demo/ agganciando V8Console::Debug, estraendo in modo sicuro lo Shellcode del secondo stadio da un ArrayBuffer.
2. Attivazione della vulnerabilità: Aggancia OnAcceptRelayedMessage e costruisce una richiesta di relay contraffatta (ID messaggio: 0x69) per ottenere un handle ad alto privilegio tramite CVE-2025-2783.
3. Hijacking dei thread:
   • Sospende il thread ad alto privilegio bersaglio.
   • Modifica forzatamente lo stato dei registri usando SetThreadContext.
   • Chiama in sequenza VirtualAlloc, ReadProcessMemory e CreateThread nel contesto del thread bersaglio per eseguire lo Shellcode.

4. Build e Dimostrazione

Costruzione della Libreria Core (src/)

Poiché il codice dipende fortemente dalle librerie interne ipcz e mojo di Chromium, è fortemente consigliato integrare la directory src/ nell'albero dei sorgenti di Chromium e compilarla usando GN e Ninja per garantire che tutte le dipendenze interne siano correttamente collegate.

Demo a Catena Completa (demo/)

1. Compatibilità: Attualmente testata solo su Chrome v128; a causa della natura dell'exploit, è applicabile solo a sistemi Windows.
2. Preparazione: Assicurarsi che gli artefatti binari da src/ siano pronti (i file precompilati payload.bin e shellcode.bin sono già forniti nella directory demo/).
3. Esecuzione: Eseguire python -m http.server nella directory demo/, quindi navigare a http://127.0.0.1:8000/exp.html nel browser.
4. Risultato: Lo script dimostrativo caricherà automaticamente il payload binario ed eseguirà lo Shellcode predefinito sul sistema.

5. Riferimenti

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. Disclaimer

Questo repository è destinato esclusivamente a scopi di ricerca accademica e sulla sicurezza. L'autore non è responsabile per eventuali perdite o responsabilità legali derivanti dall'uso di questo codice. Si prega di effettuare test solo in ambienti autorizzati.