CVE-2026-85048 — viz surface UAF (GPU 프로세스)

사용하기 매우 까다로운 UAF를 트리거하는 또 하나의 사례입니다. BackupRefPtr가 이를 제거할 것입니다. 또한 이것은 stage 2에 있으므로, 발생하는 것을 보려면 패치를 적용해야 합니다.

Surface::UpdateActivationDependencies()의 재진입(re-entrancy)이 오래된 allocation-group 포인터를 저장합니다.
트리거는 일반 CompositorFrame 메타데이터입니다: deps [S1, S2-newer] + view-transition 지시문.
지시문이 없으면: 대신 GPU CHECK(pending_frame_data_) abort가 발생합니다 (쉬운 DoS).
그룹은 약 20초 후 GC에 의해 해제되며, 다음 프레임에서 이를 역참조합니다. 유닛 레벨과 실제 브라우저에서 ASAN UAF.
취약 버전 152.0.7977.75, 수정 버전 .82 (1e944c7f193). 수동으로 포팅한 수정이 깨끗하게 실행됩니다.
프로덕션: BackupRefPtr가 이를 제거합니다 — 레지스터가 efefefefefefefef로 가득 찹니다.

실행

git apply reproducer-test.patch && autoninja -C out/asan viz_unittests
out/asan/viz_unittests --gtest_filter='*ReentrantActivationStale*' --single-process-tests

git apply stage2-renderer.patch && autoninja -C out/asan content_shell
content_shell --enable-logging=stderr trigger.html                  # ASAN UAF
content_shell --enable-logging=stderr trigger.html?variant=check    # CHECK abort

CVE-2026-85048-the-gpu-died

인기