Ladybird WebAssembly ESM Host Function RCE Vulnerability and PoC Analysis

バグ概要 本脆弱性は、Ladybird WebAssembly ESMホスト関数におけるリモートコード実行（RCE）のPoC（概念実証）に関わるものです。この脆弱性は、ブラウザから到達可能な2つのプリミティブを組み合わせています。 1. WebAssembly ESMホスト関数のライフサイクルのバグにより、陳腐化したWasmレジスタを抽象化されたWasm GC配列参照として消費できます。 2. メモリ64バックストアからの堆積（ヒープ）およびライブラリポインタの復元は、ImageDataおよびWebGLリードバックリークを通じて実現され、ネイティブ書込みパスを安定化します。 影響範囲 対象：上流のLadybirdコミット 。 環境：ヘッドレスモードでの通常のLadybirdブラウザバイナリ。 依存関係：ページは 、レイアウトインクルード、または内部ソースパッチに依存しません。 修正方案 1. ホスト関数コールバック：ホスト関数コールバックは、作成後に使用される正規化された を所有すべきです。または、呼び出し側の所有するストレージへの安定した参照をキャプチャすべきです。 2. Wasmインタプリタ：Wasmインタプリタは、バイトコード実行前に、ホスト結果のアーリティ（引数/戻り値の数）が呼び出し側の静的な結果型と一致するか検証する必要があります。もしホスト関数がゼロ値を返す場合、パス上の目標レジスタをクリアまたは上書きすべきです。 3. リーク段階： は、ユーザーが提供した型付き配列バックストア内の生ポインタをキャッシュするのを避けるべきです。これらのアドレスは変化し得るためです。バックポインタとバイト長を実行時に再推論することで、陳腐化したビットマップポインタを排除できます。 POCコード ファイルの用途 poc.html：独立したブラウザHTMLエクスプロイトページ。 README.md：再現手順、ソース追跡、およびエクスプロイト設計。 テスト目標 コンポーネントとオフセット： - ： - ： - ： - ： - ： - ： - ： 根本原因 ライブラリファイル： は、JSホストコールバックを作成する際に 型の引数を使用します。 ESMインポートパス： は、 に渡す前に、関数型をスタック上のローカル変数として構築します。 バイトコードインタプリタ： は、呼び出し地点の静的な関数型と一致するかを強制せずに、ホスト関数が返す動的な結果ベクトルを受領します。 リークプリミティブ ImageData： は、 のバックストレージを直接ラップします。 ビットマップ： は、非所有型のビットマップラッパーとしてそのポインタを保存します。 memory64： は、固定された のリザーブではなく、フォールバックの を使用します。メモリが拡張された際、 のビットマップは依然として古いアドレスを指しています。PoC は、予測可能なJSオブジェクトとWasm GCオブジェクトで古い領域を埋め込み、 と を使用してポインタの形状値を復元します。 利用パス 1. 静的な結果型が のWebAssembly ESMモジュールにJavaScript関数をインポートします。 2. ホストコールバック内の宙ぶらんだ 参照をトリガーします。 3. ホストコールバックが動的にWasmのゼロ値を返すようにします。 4. 攻撃者の形状を含む抽象GC参照を保持する陳腐化したレジスタを保持します。 5. Wasm GC の を使用して、偽造された への書き込みを行います。 6. のバックストレージをリダイレクトして、ネイティブな読み書きを取得します。 7. リークされたポインタから と のベースアドレスを解析します。 8. 仮想ディスパッチターゲットと フレームを偽造します。 9. WebGLの仮想呼び出しをトリガーして、マークされたコマンドを実行します。

目標達成すべての支援者に感謝 — 100%達成しました！

Ladybird WebAssembly ESM Host Function RCE Vulnerability and PoC Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Ladybird WebAssembly ESM Host Function RCE Vulnerability and PoC Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！