Chromium CVE-2025-2783: Побег из песочницы и эксплуатация полной цепочки RCE

Этот репозиторий содержит реализацию эксплуатации полной цепочки для CVE-2025-2783. Уязвимость находится в коммуникационном слое Ipcz браузера Chromium, позволяя атакующему осуществить побег из песочницы и выполнить произвольный код из ограниченного процесса рендеринга. Данный эксплойт поддерживает версии до 134.0.6998.177.

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. Структура проекта

• src/: Основная реализация эксплойта. Включает логику перехвата Ipcz, хуки V8 и поток выполнения с перехватом потоков для CVE-2025-2783.
• demo/: Среда демонстрации полной цепочки. Инициирует уязвимость типа Type Confusion в V8 через HTML-файл и загружает бинарный пэйлоад, скомпилированный из src/, завершая всю цепочку от процесса рендеринга до выполнения Shellcode.

2. Предпосылки уязвимости (CVE-2025-2783)

• Компонент: third_party/ipcz (реализация транспортного протокола Ipcz в Chromium)
• Корневая причина: Ipcz не выполняет строгую проверку источника и разрешений для межпроцессных дескрипторов при обработке RelayMessage.
• Влияние: Скомпрометированный процесс рендеринга может заставить процесс браузера (Broker) ретранслировать высокопривилегированные дескрипторы потоков, эффективно обходя ограничения песочницы.

3. Цепочка эксплуатации

1. Перехват сигнала: Перехватывает сигналы из JavaScript в среде demo/ с помощью хука V8Console::Debug, безопасно извлекая Shellcode второй стадии из ArrayBuffer.
2. Запуск уязвимости: Хукирует OnAcceptRelayedMessage и создает поддельный запрос ретрансляции (ID сообщения: 0x69) для получения высокопривилегированного дескриптора через CVE-2025-2783.
3. Перехват потока:
   • Приостанавливает целевой высокопривилегированный поток.
   • Принудительно изменяет состояние регистров с помощью SetThreadContext.
   • Последовательно вызывает VirtualAlloc, ReadProcessMemory и CreateThread в контексте цели для выполнения Shellcode.

4. Сборка и демонстрация

Построение основной библиотеки (src/)

Поскольку код глубоко зависит от внутренних библиотек Chromium ipcz и mojo, настоятельно рекомендуется интегрировать каталог src/ в дерево исходных кодов Chromium и собрать его с помощью GN и Ninja, чтобы все внутренние зависимости были правильно связаны.

Демонстрация полной цепочки (demo/)

1. Совместимость: В настоящее время протестировано только на Chrome v128; из-за природы эксплойта применимо только к системам Windows.
2. Подготовка: Убедитесь, что бинарные артефакты из src/ готовы (предварительно скомпилированные payload.bin и shellcode.bin уже предоставлены в каталоге demo/).
3. Выполнение: Запустите python -m http.server в каталоге demo/, затем откройте в браузере http://127.0.0.1:8000/exp.html.
4. Результат: Демонстрационный скрипт автоматически загрузит бинарный пэйлоад и выполнит предварительно заданный Shellcode в системе.

5. Ссылки

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. Отказ от ответственности

Этот репозиторий предназначен только для академических и исследовательских целей в области безопасности. Автор не несет ответственности за любые убытки или юридические последствия, вызванные использованием этого кода. Пожалуйста, проводите тестирование только в авторизованных средах.