CVE-2026-85046 + CVE-2026-87491

https://github.com/Serotav/Writeups で大量の資料を読んでいた。

85046 と 87491 を組み合わせ、同時に WASM も組み込むことにした。

最終的に Ubuntu の LPE を仕上げるために、stage1.js を作り直した。

基本は以下の通り:

• sort() の実行中に、packed オブジェクト配列と整数配列を混同させる。
• 書き込みバリアを回避し、偽の配列で若いオブジェクトを再利用する。
• Float64Array を破壊して V8 ケージの読み書きを行う。
• プライベートな例外シンボルを使って Wasm 例外ゲッターを偽造する。
• 最適化されたコードが副作用なしと仮定している間に、関数テーブルを変更する。
• 古いインスタンスの信頼済みメタデータを使って新しいターゲットを実行する。
• メモリインデックス 6 を実行可能な Wasm ジャンプテーブルにエイリアスする。
• コンパイル済みの Wasm コードを上書きして呼び出す。

./run.py /path/to/chrome を実行する。run.html を配信し、最大 5 回の新規プロファイルでの試行を行い、レンダラーから PWNED 2026 を取得した時点で終了する。各試行は 20 秒に制限されている。

さらに先へ進むには、何らかのローカル権限昇格が必要になるだろう。