Chromium CVE-2025-2783: Escape de Sandbox & Exploit RCE de Cadeia Completa

Este repositório contém uma implementação de exploit de cadeia completa para CVE-2025-2783. A vulnerabilidade reside na camada de comunicação Ipcz do Chromium, permitindo que um atacante obtenha escape de sandbox e execução arbitrária de código a partir de um processo renderizador restrito. Este exploit suporta versões até 134.0.6998.177.

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. Estrutura do Projeto

• src/: Implementação principal do exploit. Inclui a lógica de sequestro do Ipcz, hooks do V8 e o fluxo de execução de sequestro de thread para CVE-2025-2783.
• demo/: Ambiente de demonstração de cadeia completa. Dispara uma vulnerabilidade de Type Confusion do V8 através de um arquivo HTML e carrega o payload binário compilado a partir de src/, completando toda a cadeia desde o processo renderizador até a execução do Shellcode.

2. Contexto da Vulnerabilidade (CVE-2025-2783)

• Componente: third_party/ipcz (implementação do protocolo de transporte Ipcz do Chromium)
• Causa Raiz: O Ipcz não possui validação rigorosa de origem e permissão para handles entre processos ao processar RelayMessage.
• Impacto: Um processo renderizador comprometido pode induzir o processo do navegador (Broker) a retransmitir handles de thread com altos privilégios, contornando efetivamente as restrições de sandbox.

3. Cadeia do Exploit

1. Interceptação de Sinal: Intercepta sinais do JavaScript no ambiente demo/ através do hook em V8Console::Debug, extraindo de forma segura o Shellcode de segundo estágio de um ArrayBuffer.
2. Disparo da Vulnerabilidade: Faz hook em OnAcceptRelayedMessage e constrói uma solicitação de retransmissão falsificada (ID da Mensagem: 0x69) para obter um handle com altos privilégios via CVE-2025-2783.
3. Sequestro de Thread:
   • Suspende a thread alvo com altos privilégios.
   • Modifica à força o estado dos registradores usando SetThreadContext.
   • Chama sequencialmente VirtualAlloc, ReadProcessMemory e CreateThread dentro do contexto alvo para executar o Shellcode.

4. Compilação & Demonstração

Construção da Biblioteca Principal (src/)

Como o código depende profundamente das bibliotecas internas ipcz e mojo do Chromium, é altamente recomendável integrar o diretório src/ na árvore de código fonte do Chromium e compilá-lo usando GN e Ninja para garantir que todas as dependências internas sejam corretamente vinculadas.

Demonstração de Cadeia Completa (demo/)

1. Compatibilidade: Atualmente testado apenas no Chrome v128; devido à natureza do exploit, é aplicável apenas a sistemas Windows.
2. Preparação: Certifique-se de que os artefatos binários de src/ estejam prontos (arquivos payload.bin e shellcode.bin pré-compilados já estão fornecidos no diretório demo/).
3. Execução: Execute python -m http.server no diretório demo/ e, em seguida, navegue para http://127.0.0.1:8000/exp.html no navegador.
4. Resultado: O script de demonstração carregará automaticamente o payload binário e executará o Shellcode predefinido no sistema.

5. Referências

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. Aviso Legal

Este repositório é apenas para fins acadêmicos e de pesquisa em segurança. O autor não é responsável por quaisquer perdas ou responsabilidades legais causadas pelo uso deste código. Por favor, realize testes apenas em ambientes autorizados.