再現方法

2つのd8バージョンをビルドし（正確なコミットとGN引数はWRITEUP.mdを参照）、リポジトリのルートから実行します:

脆弱なビルドでの期待される出力:

重要な点が2つあります:

1. フラグは必須です。 --homomorphic-ic --max-valid-polymorphic-map-count=4 は、最適化されたコードで移行パスが取られるように多態的マップフィードバックを整形します。これらがないと、トリガーは静かに何も行いません。
2. pocs/rw_final.js はバイト単位で固定されています。 単一の破壊的書き込みは、victim配列が割り当てられる場所に依存するヒープ相対オフセットに着地します。これはさらにスクリプトの正確なバイトとパスに依存します。ファイルを編集（または名前変更）すると、組み込まれたオフセットが無効になります。再調整方法はWRITEUP.mdに記載されています。pocs/logic_final.jsはトリガー発火後にロードされるため、自由に編集できます。

メモ

• 実証されるプリミティブは、V8サンドボックス内（圧縮ヒープ）での任意読み書きです。コード実行を取得するにはさらにサンドボックス脱出（例: WasmインスタンスのRWXコード領域の破壊）が必要であり、これはこの文書の範囲外です。
• エクスプロイト内のすべてのアドレスは実行時に発見されます。組み込まれている唯一の値は、上記の理由によりpocs/rw_final.js内の単一の書き込みオフセットのみです。

このリポジトリは教育および防御的研究目的です。このバグは現在のChromeで修正されており、詳細はV8ソースツリーで公開されています。