Chromium CVE-2025-2783: サンドボックス回避 & フルチェーンRCEエクスプロイト

このリポジトリには、CVE-2025-2783 のフルチェーンエクスプロイト実装が含まれています。この脆弱性は Chromium の Ipcz 通信レイヤーに存在し、攻撃者が制限されたレンダラープロセスからサンドボックス回避と任意のコード実行を達成することを可能にします。このエクスプロイトは 134.0.6998.177 までのバージョンをサポートしています。

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. プロジェクト構成

• src/: コアエクスプロイト実装。CVE-2025-2783 のための Ipcz ハイジャックロジック、V8 フック、およびスレッドハイジャック実行フローが含まれています。
• demo/: フルチェーンのデモンストレーション環境。HTML ファイルを介して V8 型混乱（Type Confusion）の脆弱性をトリガーし、src/ からコンパイルされたバイナリペイロードをロードして、レンダラープロセスからシェルコード実行までのチェーン全体を完成させます。

2. 脆弱性の背景 (CVE-2025-2783)

• コンポーネント: third_party/ipcz (Chromium の Ipcz トランスポートプロトコル実装)
• 根本原因: Ipcz は RelayMessage を処理する際に、プロセス間ハンドルのソースと権限の検証が不十分です。
• 影響: 侵害されたレンダラープロセスは、ブラウザプロセス (Broker) に高権限のスレッドハンドルをリレーさせ、サンドボックス制限を実質的にバイパスできます。

3. エクスプロイトチェーン

1. シグナル傍受: V8Console::Debug をフックして demo/ 環境の JavaScript からのシグナルを傍受し、ArrayBuffer からセカンドステージのシェルコードを安全に抽出します。
2. 脆弱性トリガー: OnAcceptRelayedMessage をフックし、偽装されたリレーリクエスト (Message ID: 0x69) を構築して、CVE-2025-2783 を介して高権限ハンドルを取得します。
3. スレッドハイジャック:
   • 対象の高権限スレッドを一時停止します。
   • SetThreadContext を使用してレジスタ状態を強制的に変更します。
   • ターゲットコンテキスト内で VirtualAlloc、ReadProcessMemory、CreateThread を順次呼び出して、シェルコードを実行します。

4. ビルドとデモンストレーション

コアライブラリの構築 (src/)

このコードは Chromium の内部 ipcz および mojo ライブラリに深く依存しているため、src/ ディレクトリを Chromium ソースツリーに統合し、GN と Ninja を使用してビルドし、すべての内部依存関係が正しくリンクされるようにすることを強くお勧めします。

フルチェーンデモ (demo/)

1. 互換性: 現在は Chrome v128 でのみテストされています。エクスプロイトの性質上、Windows システムにのみ適用可能です。
2. 準備: src/ からのバイナリアーティファクトが準備されていることを確認します (demo/ ディレクトリには、事前にコンパイルされた payload.bin と shellcode.bin がすでに提供されています)。
3. 実行: demo/ ディレクトリで python -m http.server を実行し、ブラウザで http://127.0.0.1:8000/exp.html にアクセスします。
4. 結果: デモスクリプトは自動的にバイナリペイロードをロードし、システム上で定義済みのシェルコードを実行します。

5. 参考情報

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. 免責事項

このリポジトリは学術およびセキュリティ研究の目的のみに提供されます。著者は、このコードの使用によって生じたいかなる損失や法的責任も負いません。テストは認可された環境でのみ実施してください。