Chrome V8 Sandbox Atlama Sırları: Sentinel Value Kullanarak Herhangi Bir Kodun Çalıştırılması

Sentinel değeri, algoritmada sonlandırma koşulu olarak kullanılan özel bir değerdir ve Chrome kaynak kodunda yaygın olarak bulunmaktadır. Önceki araştırmalar, TheHole nesnesinin sızdırılması yoluyla Chrome sandbox'ında herhangi bir kodun çalıştırılabileceğini göstermiştir. Bu yazıda, onarılmamış bir başka atlatma yöntemi olan Uninitialized Oddball nesnesinin sızdırılmasını tartışacağız.

Bu yöntem, Project 0 üyelerinin gönderdiği Issue1352549'da ilk kez ortaya çıktı ve şu anda en son V8 sürümünde de kullanılabilir. Benzer yerel nesne sızıntı sorunlarının daha önce önemli güvenlik açıklarında, örneğin CVE-2021-30551 ve CVE-2022-1486 gibi, birçok kez ortaya çıktığına dikkat edilmelidir. Bu, bu tür sorunların yaygın olduğunu ve V8 motorunu kullanan birçok yazılımı etkileyebileceğini göstermektedir.

V8'deki çoğu yerel nesne, v8/src/roots/roots.h dosyasında tanımlanmıştır ve bellekte sıralı bir şekilde yer alır. Bu nesnelerin JavaScript'e sızmaması gerektiğinde sızması, sandbox kaçışına neden olabilir. Bu yöntemi doğrulamak için V8'in yerel fonksiyonlarını değiştirebiliriz; örneğin, %TheHole() fonksiyonunun Uninitialized Oddball döndürmesini değiştirmek gibi.

Bu yöntem, HardenType korumasını atlatmayı ve göreli olarak herhangi bir bellek okuma/yazma işlemi gerçekleştirmeyi sağlar. Belirli bir uygulama açısından, optimize edilmiş JavaScript kodu, dizi elemanlarının türü kontrolünü atlayarak doğrudan kaydırma hesaplayıp belleğe erişir. Bu sorun, x86 ve x64 mimarileri altında biraz farklılık gösterse de, her ikisi de istismar edilebilir.

Bu güvenlik açığı, şu anda V8 motorunu kullanan bazı yazılımlarda (, Skype ) gibi, henüz düzeltilmemiştir ve potansiyel bir güvenlik riski taşımaktadır. Hackerler, bu PatchGap'i tam bir istismar zinciri oluşturmak için kullanabilir.

Uninitialized Oddball dışında, V8'de başka Sentinel değerleri de bulunmaktadır ve bunlar da benzer güvenlik sorunlarına yol açabilir. Bu, Sentinel değer sızıntısının güvenlik etkilerini yeniden gözden geçirmemiz gerektiğini ve bulanık testlere ilgili değişkenlerin eklenmesini düşünmemiz gerektiğini gösteriyor. Bu tür sorunlar resmi olarak bir güvenlik açığı olarak kabul edilip edilmediğine bakılmaksızın, saldırganların tam istismar sağlaması için gereken süreyi önemli ölçüde kısaltabilir.