CVE-2026-6307-Longinus

V8 TurboFan における型混乱（JS-to-Wasm 呼び出しインライン化 + FrameState マージ）

通称 'Longinus': 1つのバグで2つの境界

リポジトリ: https://github.com/J4ck3LSyN-Gen2/CVE-2026-6307-Longinus
詳細レポート: OS-IS-CVE-2026-6307-07-2026.md
技術解説: Nebula Security - Longinus: 2 Boundaries in One Bug

[!WARNING] このコードは教育・研究目的のみで「現状のまま（AS IS）」提供されます。 本 PoC を本番環境、共有環境、または許可のないターゲットに対して使用しないでください。

• このエクスプロイトは、Chrome レンダラーサンドボックスを完全に侵害し得る重大なリモートコード実行（RCE）脆弱性（CVE-2026-6307）を実証するものです。
• このコードの実行またはホスティングは、誤用された場合、アンチウイルスによる検出、セキュリティ監視アラート、または法的結果を引き起こす可能性があります。
• 著者およびリポジトリ保守者は、このコードに起因するいかなる損害、誤用、または違法行為についても一切の責任を負いません。
• 適切な許可を得た隔離されたラボ環境でのみ使用してください。 防御的研究、脆弱性分析、およびブルーチームテスト専用です。

概要

このリポジトリには、Google V8 の TurboFan コンパイラにおける重大度の高い型混乱脆弱性である CVE-2026-6307（"Longinus"）の**概念実証（PoC）**が含まれています。このバグは、JS-to-WebAssembly 呼び出しインライン化中の FrameStateFunctionInfo における不完全な等価比較に起因し、具体的には JSToWasmFrameStateFunctionInfo の signature_ フィールドが比較対象から除外されています。

この欠陥により、戻り値の型が異なる（externref と i64）FrameState ノードの誤ったマージが可能になります。遅延デオプティマイゼーション中に、デオプティマイザが戻り値レジスタを誤解釈し、強力な任意読み取り/書き込みプリミティブが得られます:

• addrof(target) - JavaScript オブジェクトのアドレスを BigInt としてリークします。
• fakeobj(addr) - 任意のアドレスに偽の JavaScript オブジェクトを実体化します。

これらのプリミティブは、適切な後続テクニックと組み合わせることで、V8 ヒープサンドボックスとレンダラーサンドボックスの両方の境界を単一の脆弱性で突破します。

影響: 悪意のある JavaScript（例: 細工されたウェブページ）を介した、サンドボックス化されたレンダラープロセス内でのリモートコード実行（RCE）。

脆弱性の根本原因（技術概要）

1. TurboFan の JS-to-Wasm インライン化は、JSToWasmFrameStateFunctionInfo を埋め込んだ FrameState ノードを生成します。
2. FrameStateFunctionInfo の等価演算子（==）は、WebAssembly 関数署名（signature_）を比較しません。
3. 共通部分式削除（CSE）が、戻り値の種類が一致しない FrameState をマージします。
4. デオプティマイゼーション時:
   • externref が i64 と誤解釈される → ポインタビットが BigInt としてリークされる（addrof）。
   • i64 が externref と誤解釈される → 整数ビットがタグ付き参照として実体化される（fakeobj）。

図、TurboFan IR スニペット、デオプティマイザの動作については、Nebula Security の完全な解説記事と添付の分析レポートを参照してください。

リポジトリの内容

セットアップと使用方法

要件

• 脆弱な V8 ビルド（修正前、例: Chrome < 147.0.7727.101、または 2026年3月～6月頃の対応する d8 バイナリ）。
• V8 フラグ: --allow-natives-syntax --expose-wasm
• 推奨: デバッグ用に --turbo-dynamic-map-checks などを使用したデバッグ d8。

PoC の実行

# d8 シェルを使用
./d8 --allow-natives-syntax --expose-wasm poc.js

期待される動作（脆弱なビルドの場合）:

• ダミーオブジェクトの addrof リークが成功する。
• fakeobj の実体化が成功する（同一性チェックを通過）。
• ArrayBuffer バッキングストアを介した基本的な任意読み取りのデモ。

注記: 完全な RCE にはさらなるエンジニアリング（オフセット計算、WASM/GC 相互作用、サンドボックスエスケープ）が必要です。この PoC はコアプリミティブに焦点を当てています。

YARA 検出

同梱の .yar ルールは、スクリプトまたはメモリ内の PoC パターンを識別するためにセキュリティツールで使用できます。

緩和策

• 直ちに Chrome/V8 バージョン ≥ 147.0.7727.101（または修正を含むパッチ適用リリース）へ更新してください。
• Control Flow Integrity（CFI） を有効にしてください。
• サイト分離（Site Isolation） を活用してください（最新の Chrome ではデフォルト）。
• 強力なサンドボックス化、CSP を使用し、システムを完全にパッチ適用した状態に保ってください。

参考情報とクレジット

• 主要な解説記事: Nebula Security - Longinus
• 詳細な分析レポート: OS-IS-CVE-2026-6307-07-2026.md
• オリジナル研究は Vega（Nebula Security）および貢献者によるものです。
• 迅速な対応と修正をいただいた V8 チームに感謝します。
• 関連情報を提供いただいた YogSoth0 に感謝します。

免責事項: このリポジトリは教育、防御、および研究目的のみで提供されます。許可のないシステムで使用しないでください。著者は誤用に対する一切の責任を負いません。

質問、貢献、またはバリアント開発については、Issue または PR を開いてください。

最終更新: 2026年7月