CVE-2026-85046 + CVE-2026-87491

https://github.com/Serotav/Writeups 에서 많은 자료를 읽고 있었습니다.

85046과 87491을 결합하고 동시에 WASM도 일부 넣어보기로 했습니다.

결국 만들고 있던 우분투 LPE를 위해 stage1.js를 다시 작성했습니다.

기본 내용:

• sort() 중에 packed 객체 배열과 정수 배열을 혼동시킵니다.
• 쓰기 배리어를 건너뛰고 가짜 배열로 young 객체를 재할당합니다.
• Float64Array를 손상시켜 V8 cage를 읽고 씁니다.
• private exception 심볼을 사용하여 Wasm 예외 getter를 위조합니다.
• 최적화된 코드가 부작용이 없다고 가정하는 동안 함수 테이블을 변경합니다.
• 이전 인스턴스의 신뢰할 수 있는 메타데이터로 새 타깃을 실행합니다.
• 메모리 인덱스 6을 실행 가능한 Wasm 점프 테이블과 앨리어싱합니다.
• 컴파일된 Wasm 코드를 덮어쓰고 호출합니다.

./run.py /path/to/chrome을 실행하세요. run.html을 서빙하고, 최대 다섯 번의 새 프로필 시도를 수행하며, 렌더러에서 PWNED 2026을 캡처하는 즉시 종료합니다. 각 시도는 20초로 제한됩니다.

더 나아가려면 일종의 로컬 권한 상승이 필요합니다.