0-day вразливість у Chrome, виявлена ​​через аналіз змін у двигуні V8

Дослідники з компанії Exodus Intelligence продемонстрували слабке місце в процесі виправлення вразливостей у кодовій базі Chrome/Chromium. Проблема пов'язана з тим, що Google розкриває відомості, що внесені виправлення стосуються проблем з безпекою лише після релізу, але
додає в репозиторій код для усунення вразливості у двигуні V8 до публікації релізу. Якийсь час виправлення проходять тестування та виникає вікно, протягом якого вразливість стає виправленою в кодовій базі та доступною для аналізу, але вразливість залишається невиправленою на системах користувачів.

Вивчаючи зміни, що вносяться в репозиторій, дослідники звернули увагу на додане 19 лютого. виправлення і протягом трьох днів змогли підготувати експлоїт, що вражає актуальні випуски Chrome (опублікований експлоїт не включав компоненти обходу sandbox-ізоляції). Компанія Google оперативно випустила оновлення Chrome 80.0.3987.122, усунувши пов'язану із запропонованим експлоїтом вразливість (CVE-2020-6418). Вразливість була спочатку виявлена ​​інженерами Google і викликана проблемою обробки типів в операції JSCreate, яка може бути експлуатована через метод Array.pop або Array.prototype.pop. Примітно, що схожа проблема була виправлена у Firefox влітку минулого року.

Дослідники також звернули увагу на спрощення створення експлоїтів через включення до Chrome 80 механізму упаковки покажчиків (замість повного 64-розрядного значення зберігаються лише унікальні нижні біти покажчика, що дозволяє значно скоротити споживання пам'яті в купі). Наприклад, деякі структури даних, що знаходяться на початку купи, такі як таблиця вбудованих функцій, об'єкти «native context» і кореневі об'єкти збирача сміття, тепер розміщуються за передбачуваними та доступними на запис упакованим адресам.

Цікаво, що майже рік тому компанія Exodus Intelligence була зроблена аналогічна демонстрація можливості створення експлоїту на основі вивчення публічного лога виправлень у V8, але, зважаючи на все, належних висновків не було. На місці дослідників
Exodus Intelligence могли бути зловмисники або спецслужби, які при створенні експлоїту мали б можливість дні або навіть тижні приховано експлуатувати вразливість до формування чергового релізу Chrome.

Джерело: opennet.ru