0-day kwetsbaarheid in Chrome, ontdekt door analyse van wijzigingen in de V8-engine

Onderzoekers van Exodus Intelligence toonden aan een zwakke plek in het patchproces van kwetsbaarheden in de codebasis van Chrome/Chromium. Het probleem hangt samen met het feit dat Google pas na de release bekendmaakt dat de aangebrachte wijzigingen verband houden met beveiligingsproblemen, maar
voegt code toe aan de repository om de kwetsbaarheid in de V8-engine te verhelpen vóór de publicatie van de release. Een tijdje ondergaan de patches testen, waardoor er een venster ontstaat waarin de kwetsbaarheid is verholpen in de codebasis en beschikbaar is voor analyse, maar de kwetsbaarheid blijft onopgelost op de systemen van gebruikers.

Bij het bestuderen van de wijzigingen in de repository merkten de onderzoekers op dat er op 19 februari iets was toegevoegd , maar deze is nog niet goedgekeurd. Om terug te keren naar de vorige stabiele versie (OpenSSL 1.1.0h) kun je de volgende commando's uitvoeren: en binnen drie dagen waren ze in staat om een exploit, die de meest recente versies van Chrome aanvalt (de gepubliceerde exploit bevatte geen componenten om de sandbox-isolatie te omzeilen). Google heeft snel heeft uitgebracht de Chrome-update 80.0.3987.122 uitgebracht, waarmee de kwetsbaarheid die verband hield met de voorgestelde exploit is verholpen kwetsbaarheid (CVE-2020-6418). De kwetsbaarheid werd aanvankelijk ontdekt door ingenieurs van Google en was het gevolg van een probleem bij het verwerken van types in de JSCreate-operatie, die kan worden geëxploiteerd via de methode Array.pop of Array.prototype.pop. Opmerkelijk is dat er vorig jaar zomer een vergelijkbaar probleem was opgelost in Firefox.

De onderzoekers merkten ook op dat het gemakkelijker werd om exploits te maken vanwege de opname in Chrome 80 een mechanisme voor pointerpacking (in plaats van de volledige 64-bits waarde worden alleen de unieke lagere bits van de pointer opgeslagen, wat de geheugengebruik in de heap aanzienlijk vermindert). Bijvoorbeeld, sommige structuren in het begin van de heap, zoals de tabel van ingebouwde functies, 'native context'-objecten en wortelobjecten van de garbage collector, worden nu opgeslagen op voorspelbare en schrijfbare verpakte adressen.

Interessant is dat bijna een jaar geleden Exodus Intelligence al een soortgelijke demonstratie gaf van de mogelijkheid om een exploit te maken op basis van het bestuderen van de openbare patchlog in V8, maar blijkbaar zijn er geen juiste conclusies getrokken. Op de plaats van de onderzoekers een soortgelijke demonstratie van de mogelijkheid om een exploit te creëren op basis van de studie van publieke logboeken van correcties in V8, maar kennelijk zijn er geen passende conclusies getrokken. Bij de onderzoekers.
Bij Exodus Intelligence zouden aanvallers of inlichtingendiensten betrokken kunnen zijn geweest, die bij het creëren van de exploit de kans hadden om dagen of zelfs weken een kwetsbaarheid te benutten voordat de volgende release van Chrome werd gemaakt.

Bron: opennet.ru