0-day уразлівасць у Chrome, выяўленая праз аналіз змен у рухавічку V8

Даследнікі з кампаніі Exodus Intelligence прадэманстравалі слабое месца падчас выпраўленняў уразлівасцяў у кодавай базе Chrome/Chromium. Праблема звязана з тым, што Google раскрывае звесткі, што ўнесеныя выпраўленні маюць дачыненне да праблем з бяспекай толькі пасля рэлізу, але
дадае ў рэпазітар код для ўхілення ўразлівасці ў рухавічку V8 да публікацыі рэлізу. Нейкі час выпраўлення праходзяць тэставанне і ўзнікае акно, на працягу якога ўразлівасць становіцца выпраўленай у кодавай базе і даступнай для аналізу, але ўразлівасць застаецца невыпраўленай на сістэмах карыстачоў.

Вывучаючы якія ўносяцца ў рэпазітар змены даследнікі звярнулі ўвагу на дададзенае 19 лютага выпраўленне і на працягу трох дзён змаглі падрыхтаваць эксплоіт, які дзівіць актуальныя выпускі Chrome (апублікаваны эксплоіт не ўключаў кампаненты для абыходу sandbox-ізаляцыі). Кампанія Google аператыўна выпусціла абнаўленне Chrome 80.0.3987.122, устараніўшы звязаную з прапанаваным эксплоітам уразлівасць (CVE-2020-6418). Уразлівасць была першапачаткова выяўлена інжынерамі Google і выклікана праблемай з апрацоўкай тыпаў у аперацыі JSCreate, якая можа быць эксплуатаваная праз метад Array.pop ці Array.prototype.pop. Характэрна, што падобная праблема была выпраўлена у Firefox улетку мінулага гады.

Даследнікі таксама звярнулі ўвагу на спрашчэнне стварэння эксплоітаў з-за ўключэння ў Хром 80 механізма упакоўкі паказальнікаў (замест поўнага 64-разраднага значэння захоўваюцца толькі ўнікальныя ніжнія біты паказальніка, што дазваляе значна скараціць спажыванне памяці ў кучы). Напрыклад, некаторыя з якіх знаходзяцца ў пачатку кучы структуры дадзеных, такія як табліца ўбудаваных функцый, аб'екты «native context» і каранёвыя аб'екты зборшчыка смецця, зараз размяшчаюцца па прадказальных і даступных на запіс упакаваным адрасах.

Цікава, што амаль год таму кампаніяй Exodus Intelligence была зроблена аналагічная дэманстрацыя магчымасці стварэння эксплоіта на аснове вывучэння публічнага лога выпраўленняў у V8, але, судзячы па ўсім, належных высноў не рушыла ўслед. На месцы даследнікаў
Exodus Intelligence маглі апынуцца зламыснікі ці спецслужбы, якія пры стварэнні эксплоіта мелі б магчымасць дні ці нават тыдні ўтоена эксплуатаваць уразлівасць да фармавання чарговага рэлізу Chrome.

Крыніца: opennet.ru