V8 Sandbox: побег/обход/нарушение и коллекция VR

Коллекция ссылок, связанных с V8 sandbox VR и эксплуатацией.

Содержание

• IssueTracker
• Articles
• Papers & Slides
• Design documents

IssueTracker

2023: "issue id: 40940619, побег из V8 Sandbox из-за слишком грубых тегов типов в ExternalPointerTable для Embedder Objects"

2023: "issue id: 40940623, побег из V8 Sandbox из-за грубой проверки типов для Foreigns"

2024: "issue id: 42204606, Смягчение побегов из песочницы в RegExp"

2024: "issue id: 336507783, V8 Sandbox: предотвращение побегов из песочницы на основе Wasm "

2024: "issue id: 327732554, нарушение V8 sandbox из-за сравнения со знаком (недоверенной) длины строки с размером буфера"

2024: "issue id: 326086002, нарушения песочницы из-за (исчерпывающих) switch по enum, когда код после switch содержит UB"

2024: "issue id: 327732554, нарушение V8 sandbox в v8::internal::Builtins::code"

2024: "issue id: 328692018, нарушение V8 sandbox в v8::bigint::Digits::read_4byte_aligned"

2024: "issue id: 328858270, нарушение V8 sandbox в v8::internal::GetBailoutReason"

2024: "issue id: 332475841, нарушение V8 sandbox в v8::internal::ElementsKindToString"

2024: "issue id: 41487854, нарушение V8 sandbox в Builtins_StarWideHandler"

2024: "issue id: 323736727, нарушение V8 sandbox в Builtins_DeoptimizationEntry_Eager"

2024: "issue id: 323694399, нарушение V8 sandbox в Builtins_DeoptimizationEntry_Eager"

2024: "issue id: 323696394, нарушение V8 sandbox в Builtins_DeoptimizationEntry_Eager"

2024: "issue id: 323690010, нарушение V8 sandbox в Builtins_DeoptimizationEntry_Eager"

2024: "issue id: 327550517, нарушение V8 sandbox в v8::internal::ArrayBufferSweeper::Detach"

2024: "issue id: 324343442, нарушение V8 sandbox в v8::internal::SemiSpace::FixPagesFlags"

2024: "issue id: 324482838, нарушение V8 sandbox в v8::internal::maglev::MaglevGraphBuilder::BuildAllocateFastObject"

2024: "issue id: 326109866, use-after-poison в v8::internal::compiler::MapData::instance_type"

2024: "issue id: 327719160, нарушение V8 sandbox в v8::internal::MarkCompactCollector::ProcessMarkingWorklist"

2024: "issue id: 327827222, нарушение V8 sandbox в v8::internal::ConcurrentMarking::RunMajor"

2024: "issue id: 329425726, нарушение V8 sandbox в v8::internal::Scavenger::IterateAndScavengePromotedObject"

2024: "issue id: 329886545, нарушение V8 sandbox в v8::internal::JSFunction::CalculateExpectedNofProperties"

2024: "issue id: 330219140, нарушение V8 sandbox в unsigned int v8::base::AsAtomicImpl::Relaxed_Load"

2024: "issue id: 330385840, нарушение V8 sandbox в v8::internal::Code::kind"

2024: "issue id: 330404819, побег из V8 Sandbox через regexp"

2024: "issue id: 329781445, нарушение V8 sandbox в v8::internal::Scavenger::IterateAndScavengePromotedObject"

2024: "issue id: 330563095, WebCodecs VideoFrame состояние гонки, UAF-запись до RCE" от Seunghyun Lee(@0x10n) [Pwn2Own 2024]

2024: "issue id: 331042197, нарушение V8 sandbox в v8::internal::Scavenger::IterateAndScavengePromotedObject"

2024: "issue id: 330922416, нарушение V8 sandbox в v8::internal::ArrayBufferExtension::backing_store"

2024: "issue id: 331036491, нарушение V8 sandbox в icu_73::Locale::getBaseName"

2024: "issue id: 330096629, нарушение V8 sandbox в icu_73::RelativeDateTimeFormatter::getFormatStyle"

2024: "issue id: 331241020, нарушение V8 sandbox и повреждение памяти из-за переполнения буфера в компиляторе"

2024: "issue id: 331883947, нарушение V8 sandbox в v8::internal::Managed<icu_73::Locale>::GetSharedPtrPtr"

2024: "issue id: 331837303, нарушение V8 sandbox в v8::internal::maglev::MaglevGraphBuilder::TryBuildInlinedAllocatedContext"

2024: "issue id: 331042216, нарушение V8 sandbox в v8::internal::LazyCreateDateIntervalFormat"

2024: "issue id: 333065495, нарушение V8 sandbox в v8::internal::MemoryChunkMetadata::heap"

2024: "issue id: 329920544, нарушение V8 sandbox в v8::internal::Managed<icu_73::number::LocalizedNumberFormatter>::GetSharedPtrPtr"

2024: "issue id: 330800450, нарушение V8 sandbox в unsigned long v8::base::AsAtomicImpl::Relaxed_Load"

2024: "issue id: 335763881, нарушение V8 sandbox в v8::internal::TranslatedState::CreateNextTranslatedValue"

2024: "issue id: 335544065, нарушение V8 sandbox в Builtins_DeoptimizationEntry_Eager"

2024: "issue id: 335322609, нарушение V8 sandbox в v8::internal::maglev::CapturedObject::set"

2024: "issue id: 335810507, нарушение V8 sandbox в v8::internal::ToLatin1Lower"

2024: "issue id: 337094992, нарушение V8 sandbox в v8::internal::ArrayBufferExtension::backing_store"

2024: "issue id: 336655186, нарушение V8 sandbox в v8::internal::Scavenger::IterateAndScavengePromotedObject"

2024: "issue id: 333829668, нарушение V8 sandbox в v8::base::Flags<v8::internal::MemoryChunk::Flag, unsigned long, unsigned long>::"

2024: "issue id: 327473161, нарушение V8 sandbox в v8::internal::TranslatedState::CreateNextTranslatedValue"

2024: "issue id: 334120897, обход V8 Sandbox: путаница сигнатур функций wasm, приводящая к произвольному чтению/записи за пределами песочницы "

2024: "issue id: 336648007, нарушение V8 sandbox в v8::internal::maglev::CapturedObject::set"

2024: "issue id: 343407073, обход V8 Sandbox: перехват потока управления через WASM Table Indirect call"[Edouard Bochin (@le_douds) и Tao Yan (@Ga1ois)]

2024: "issue id: 339141292, нарушение V8 sandbox в Builtins_JSToJSWrapper"

2024: "issue id: 339310133, нарушение V8 sandbox в v8::internal::maglev::CapturedObject::set"

2024: "issue id: 339517309, нарушение V8 sandbox в v8::internal::maglev::CapturedObject::set"

2024: "issue id: 338342089, нарушение V8 sandbox в v8::internal::wasm::name"

2024: "Генерация тегов heap-песочницы для типов на основе IDL"

2024: "issue id: 337941142, нарушение V8 sandbox в v8::base::Flags<v8::internal::MemoryChunk::Flag, unsigned long, unsigned long>::"

2024: "issue id: 342451736, нарушение V8 sandbox в void v8::internal::BodyDescriptorBase::IterateTrustedPointer<v8::internal::MainM "

2024: "issue id: 342866373, обход V8 Sandbox: JSToWasmWrapperAsm доступен и позволяет путаницу типов"

2024: "issue id: 338342091, нарушение V8 sandbox в Builtins_JSToJSWrapper"

2024: "issue id: 337547182, нарушение V8 sandbox в Builtins_SuspendGeneratorHandler"

2024: "issue id: 342297062, нарушение V8 sandbox, если SFI::formal_parameter_count не совпадает с количеством параметров кода функции"

2024: "issue id: 343801366, обход V8 Sandbox: неполное усиление защиты экспериментального движка регулярных выражений"

2024: "issue id: 344943044, нарушение V8 sandbox в v8::internal::maglev::MaglevGraphBuilder::GetValueNodeFromCapturedValue"

2024: "issue id: 344963941, обход V8 Sandbox: модификация байткода движка Irregexp приводит к произвольному чтению/записи за пределами песочницы"

2024: "issue id: 346799730, стек откатов Regexp может опустошаться"

2024: "issue id: 339043698, нарушение V8 sandbox в unsigned char v8::base::ReadUnalignedValue"

2024: "issue id: 348324480, OutsideSandboxOrInReadonlySpace проверяет данные внутри песочницы"

2024: "issue id: 349517592, Wasm FeedbackMaker: обращения OOB"

2024: "issue id: 345547973, нарушение V8 sandbox в v8::internal::wasm::name"

2024: "issue id: 349563054, обход V8 Sandbox: UAF путём манипуляции Managed"

2024: "issue id: 349641090, нарушение V8 sandbox в v8::internal::compiler::MapData::instance_type"

2024: "issue id: 337906704, нарушение V8 sandbox в v8::internal::OldLargeObjectSpace::PromoteNewLargeObject"

2024: "issue id: 348793147, обход V8 Sandbox: AAR/W через обход проверки сигнатуры импорта таблицы"

2024: "issue id: 351327767, WebAssembly: доступ к памяти за пределами из-за путаницы с кэшированным индексом памяти"

2024: "issue id: 352446085, обход V8 Sandbox: AAR/W через состояние гонки импорта WASM, приводящее к нарушению проверки границ во время выполнения с memory64"

2024: "issue id: 349502157, обход V8 Sandbox: AAR/W через OOB-установку элемента таблицы, обход SBXCHECK_LT()"

2024: "issue id: 349529650, обход V8 Sandbox: AAR/W через гонку проверки сигнатуры импорта функции"

2024: "issue id: 352689356, обход V8 Sandbox: AAR/W через путаницу сигнатур функций WASM в TurboFan call_ref"

2024: "issue id: 372298915, нарушение V8 sandbox в v8::internal::BuiltinArguments::operator "

2024: "issue id: 356649155, нарушение V8 sandbox в v8::internal::OldLargeObjectSpace::PromoteNewLargeObject"

2024: "issue id: 329345899, нарушение V8 sandbox из-за обращения к SlotSet Bucket за пределами при повреждении heap-памяти"

2024: "issue id: 341129593, обход V8 Sandbox: несоответствие аргументов интерпретируемой функции"

2024: "issue id: 344343031, обход V8 Sandbox: путаница индексов в Code Pointer Table, приводящая к повреждению стека"

2024: "issue id: 338381304, обход V8 Sandbox: повреждение стека из-за несоответствия количества параметров"

2024: "issue id: 359952306, нарушение V8 sandbox в v8::internal::CommonFrameWithJSLinkage::GetParameter"

2024: "issue id: 359070975, нарушение V8 sandbox в unsigned int v8::internal::ReadMaybeUnalignedValue"

2024: "issue id:369652807, нарушение V8 sandbox в v8::internal::wasm::name"

2024: "issue id:354408144, обход V8 Sandbox: AAR/W через путаницу сигнатур WASM в обёртке Wasm-to-JS через перезапись PodArrayOfWasmValueType"

2024: "issue id:348084786, обход V8 Sandbox: с Shared Function Info"

2024: "issue id:361862752, обход V8 Sandbox: скомпилированные обёртки JS-to-WASM не защищают от перезаписи trusted_function_data"

2024: "issue id:372749557, нарушение V8 sandbox в Builtins_SuspendGeneratorBaseline"

2024: "issue id:366374966, нарушение V8 sandbox в Builtins_CEntry_Return1_ArgvOnStack_BuiltinExit"

2024: "issue id:376496315, нарушение V8 sandbox в v8::internal::TranslatedValue::kind"

2024: "issue id:379768241, нарушение V8 sandbox в v8::internal::SlotSet* v8::internal::MutablePageMetadata::slot_set<"

2024: "issue id:379418918, нарушение V8 sandbox в Builtins_ContinueToJavaScriptBuiltinWithResult"

2024: "issue id:374812612, нарушение V8 Sandbox во время OSR tier-up, если код в FeedbackVector изменён"

2024: "issue id:381127888, нарушение V8 sandbox в v8::internal::compiler::JSContextSpecialization::ReduceJSLoadScriptContext"

2024: "issue id:350628675, обход V8 Sandbox: AAR/W через OOB-индекс таблицы диспетчеризации WASM из `WasmTableObject.uses'"

2024: "issue id:382147423, нарушение V8 sandbox в v8::internal::MutablePageMetadata::SweepingDone"

2024: "issue id:381999810, обход V8 Sandbox: повреждение памяти за пределами V8 sandbox"

2024: "issue id:350292240, обход V8 Sandbox: AAR/W через обход проверки rtt в call_indirect таблицы обобщённых функций"

2024: "issue id:384186547, обход V8 Sandbox: манипуляция злоумышленника связными списками ArrayBufferSweeper приводит к висячим указателям ArrayBufferExtension"

2025: "issue id:389713719, обход V8 Sandbox: запись за пределы в MemoryChunk metadata_pointer_table"

2025: "issue id:388437270, обход V8 Sandbox: запись за пределы в JsonStringifier::SerializeString"

2025: "issue id:389970331, обход V8 Sandbox: переполнение стека в StringToBigIntHelper"

2025: "issue id:390568183, обход V8 Sandbox: UB в MessageHandler::GetMessage из-за недопустимого варианта MessageTemplate"

2025: "issue id:390453039, обход V8 Sandbox: UB в WebAssemblyMemoryGrow, потому что AddressType создаётся из данных в куче"

2025: "issue id:390816209, обход V8 Sandbox: перехват потока управления через switch-case по повреждённому значению enum MessageTemplate"

2025: "issue id:390441099, обход V8 Sandbox: переполнение стека в StringToBigIntHelper"

2025: "Обход V8 Sandbox: AAW (wildcopy) из-за целочисленного переполнения проверки границ в %TypedArray%.prototype.set"

2025: "issue id:395659804, обход V8 Sandbox: произвольное выполнение кода через путаницу DeoptimizationData при OSR"

2025: "issue id:398773898, обход V8 Sandbox: запись за пределы в JsonStringifier::TrySerializeSimplePropertyKey"

2025: "issue id:393989622, нарушение V8 sandbox в icu_74::UnicodeString::doAppend"

2024: "issue id:385775375, нарушение V8 sandbox из-за конкурентных изменений ArrayBuffer во время std::sort"

2024: "issue id:386565139, обход V8 Sandbox: целочисленное переполнение в TypedArraySet, приводящее к записи за пределы песочницы"

2025: "issue id:403600260, обход V8 Sandbox: неинициализированное чтение для OOB-перехода в switch-case в Maglev при инлайнинге аллокации JSGeneratorObject"

2025: "issue id:401732698, нарушение V8 sandbox в v8"

2025: "issue id:404285918, обход V8 Sandbox: контроль SP/PC через путаницу вершины центрального стека Wasm JSPI"

2025: "issue id:396446145, обход V8 Sandbox: запись за пределы в JsonParser::DecodeString (double fetch)"

2025: "issue id:395895382, обход V8 Sandbox: AAW через повреждение длины массива при инлайнинге spread-вызовов в Turbofan"

Articles

2022: "Выполнение кода в Chromium’s V8 Heap Sandbox"

2022: "KITCTFCTF 2022: побег из V8 Heap Sandbox"

2022: "дыра в памяти"[DiceCTF 2022]

2022: "Дыра в памяти: взлом V8 Heap Sandbox"[DiceCTF 2022]

2023: "Использование нативного указателя функции для обхода последней версии Chrome v8 Sandbox (эксплойт issue1378239)"

2023: "Снова используем Wasm для обхода последней версии Chrome v8sbx"

2023: "Эксплуатация Zenbleed из Chrome"2023: "Исследование исторических обходов V8 Heap Sandbox I"

2023: "Злоупотребление ассемблером Liftoff и эффективный обход sbx(@r3tr074)"

2023: "Заводите моторы - захват первого флага в новом v8CTF от Google"

2024: "Google Chrome V8 CVE-2024-0517: выполнение кода при записи за пределами буфера"

2024: "Песочница V8"

2024: "Issue-1472121 : эксплуатация type confusion с выходом за границы в CloneObjectIC"

2024: "От перехода объекта к RCE в рендерере Chrome"

2024: "Атака клонов: получение RCE в рендерере Chrome с помощью дублирующихся свойств объектов"

2024: "Глубокое погружение в технику обхода V8 Sandbox, использованную в эксплойте In-the-Wild"

2024: "CVE-2024-2887: баг в Google Chrome, принёсший победу на Pwn2Own"

2024: "Взлом V8 Sandbox с помощью таблицы доверенных указателей"[HITCON CTF 2024]

2024: "HITCON CTF QUAL 2024 Pwn Challenge, часть 1 - Halloween и v8sbx"[HITCON CTF 2024]

2024: "SSD Advisory – Google Chrome RCE(Seunghyun Lee (@0x10n)"[TyphoonPWN 2024]

Доклады и слайды

2022: "Песочница V8(Samuel Groß, @5aelo)"

2023: "Разработка современных цепочек эксплойтов для Chrome"[POC2023 - @numencyber]

2024: "Песочница кучи V8(Samuel Groß, @5aelo)"[OffensiveCon 2024]

2024: "RCE в Chrome/Edge через type confusion в V8 WASM от Manfred Paul(@_manfp)"[Pwn2Own Vancouver 2024]

2024: "RCE только в рендерере Google Chrome от Seunghyun Lee (@0x10n)"[Pwn2Own Vancouver 2024]

2024: "Эволюция защитных механизмов V8 JSE"[слайды][Полная статья][SSTIC2024]

2024: "От уязвимости к победе: путь 1-day эксплойта рендерера Chrome к славе v8CTF"[TyphoonCon 2024]

2024: "TIKTAG: взлом ARM Memory Tagging Extension с помощью спекулятивного выполнения"

2024: "Пусть кэш кэширует, а WebAssembly ассемблирует: стучимся в shell Chrome"[blackhat USA 2024]

2024: "Разбор обхода V8 Sandbox - Edouard Bochin (@le_douds) и Tao Yan (@Ga1ois)"[Pwn2Own Vancouver 2024]

2024: "Обход механизма защиты V8 Sandbox"[OFFZONE 2024]

2024: "Эксплуатация Chrome: от нуля до обхода Heap-Sandbox"[BSides Oslo 2024][matteo malvica]NDC Security 2025

2024: "WebAssembly — всё, что вам нужно: эксплуатация Chrome и V8 Sandbox 10+ раз с помощью WASM"[POC2024][Seunghyun Lee]

2024: "Притворяйся, пока не получится: обход V8 Sandbox путём создания поддельного Isolate"[POC2024][Jaewon Min][Kaan Ezder]

Проектные документы

2019: "Сжатые указатели в V8"

2021: "V8 Sandbox"

2022: "V8 Sandbox - адресное пространство"

2022: "V8 Sandbox - изолированные указатели"

2022: "V8 Sandbox - изоляция внешних указателей"

2022: "V8 Sandbox - изоляция указателей на код"

2023: "V8 Sandbox - глоссарий"

2023: "V8 Sandbox - доверенное пространство"

2024: "Несколько песочниц aka песочница на группу изолятов"

2024: "V8 Sandbox - аппаратная поддержка"

2024: "V8 Sandbox - изоляция указателей встраивателя"

2024: "V8 Sandbox + Leaptiering"

2025: "V8 Sandbox - аппаратная песочница v0.1"