CVE-2025-2783: Google Chrome Mojo Sandbox Escape

CVSS Score: 8.3 (High) Discovered by: Kaspersky Status: Actively exploited in the wild (espionage campaigns)

Обзор

CVE-2025-2783 — это специфичная для Windows уязвимость повышения привилегий в фреймворке Mojo Interprocess Communication (IPC) браузера Google Chrome. Она позволяет скомпрометированному процессу рендерера выйти за пределы песочницы Chrome, эксплуатируя некорректную обработку дескрипторов (handles) в уровне обмена сообщениями Mojo.

Этот CVE был выявлен в рамках активно эксплуатируемой цепочки атак, направленных на журналистов и оппозиционных деятелей. Побег из песочницы использовался в сочетании с отдельной уязвимостью удалённого выполнения кода (RCE) в рендерере для полного захвата системы.

Технические детали

Уязвимость кроется в обработке Windows-объектов HANDLE в канале Mojo IPC во время сериализации и десериализации сообщений. В частности:

Путаница дескрипторов: брокер Mojo в Windows некорректно проверяет и передаёт дескрипторы между привилегированным процессом браузера и изолированными процессами рендерера. Специально сформированное IPC-сообщение может заставить брокера дублировать дескриптор в процесс рендерера с непредусмотренными правами доступа.
Отсутствие проверки доступа: брокер не проверяет, имеет ли рендерер право на получение дублированного дескриптора, что фактически позволяет любому скомпрометированному процессу рендерера запрашивать и получать дескриптор к чувствительным объектам ядра.
Повышение привилегий: получив некорректно дублированный дескриптор, вредоносный рендерер может использовать его для выполнения привилегированных операций (например, создания процессов, доступа к файловой системе) за пределами песочницы.

Схема эксплуатации:

Атакующий взламывает рендерер через RCE (отдельная уязвимость)
Рендерер отправляет специально сформированное Mojo IPC-сообщение процессу браузера
Брокер Mojo в процессе браузера некорректно дублирует привилегированный дескриптор
Рендерер получает дескриптор и использует его для побега из песочницы
Достигается полный доступ к системе

Затронутые версии

Google Chrome: < 134.0.6998.177 на Windows
Chromium: все сборки до даты исправления (март 2025)
Платформа: только Windows (уязвимость находится в коде управления дескрипторами, специфичном для Windows)

Microsoft Edge (на базе Chromium) и другие браузеры на основе Chromium также могут быть затронуты, если они ещё не получили исправление из вышестоящего репозитория.

Воспроизведение

ВНИМАНИЕ: Это только для авторизованных исследований в области безопасности и образовательных целей. Несанкционированное тестирование живых систем незаконно.

Предварительные требования

Windows 10/11 (полностью обновлённая)
Google Chrome 134.0.6998.176 или более ранняя версия
Python 3.8+
Включённые символы отладки для Chrome (--enable-logging --v=1)

Шаги

Сгенерируйте вредоносный файл полезной нагрузки с помощью exploit.py
Разместите полезную нагрузку через локальный HTTP-сервер или на контролируемом домене
Откройте Chrome и перейдите на страницу, размещающую полезную нагрузку
Процесс рендерера выполнит сформированное Mojo IPC-сообщение
Проверьте побег из песочницы, просмотрев дерево процессов (рендерер порождает дочерний процесс за пределами песочницы)

Proof of Concept

Прилагаемый exploit.py демонстрирует концепцию создания вредоносного Mojo IPC-сообщения, вызывающего путаницу дескрипторов. Он не содержит рабочего эксплойта против пропатченных браузеров и предназначен исключительно для понимания данного класса уязвимостей в образовательных целях.

# See exploit.py for the full demonstration

Меры по смягчению

Обновите Chrome: перейдите на Chrome 134.0.6998.177 или более новую версию
Для корпоративных сред: немедленно разверните обновление через групповые политики (Group Policy) или MDM
Обнаружение EDR: отслеживайте аномальные шаблоны Mojo IPC-сообщений и неожиданные события дублирования дескрипторов
Эшелонированная защита: запускайте Chrome с дополнительными уровнями изоляции (например, AppContainer, ограниченный токен) и endpoint-детектированием

Официальное исправление устраняет отсутствие проверки доступа в логике передачи дескрипторов брокера Mojo. В частности, теперь брокер проверяет, что запрашивающий процесс имеет необходимые привилегии перед дублированием дескриптора.

cve-2025-2783-chrome_sandbox_escape_reproduction

Популярное