CVE-2026-85046 + CVE-2026-87491

https://github.com/Serotav/Writeups で大量の読み物をしていた。

85046 と 87491 を組み合わせることにして、同時に WASM もいくつか組み込むことにした。

基本:

• sort() 中に packed object と integer array を混同させる。
• write barrier をスキップし、偽の配列で young object を再利用する。
• Float64Array を破壊して V8 cage を読み書きする。
• プライベートな exception symbol を使って Wasm exception getter を偽造する。
• 最適化されたコードが副作用なしと仮定している間に function table を変更する。
• 古いインスタンスの trusted metadata で新しいターゲットを実行する。
• memory index 6 を実行可能な Wasm jump table とエイリアスさせる。
• コンパイル済みの Wasm コードを上書きして呼び出す。

Chrome 152.0.7977.75 で run.html を開く。成功すると renderer から直接 PWNED 2026 が出力され、ページに RAW_NATIVE {"pid":...,"writeCount":11,...} が表示される。

これ以上進むには、何らかのローカル権限昇格が必要になるだろう。