Chrome V8 motorundaki Sentinel Value sızıntısı nedeniyle oluşan güvenlik riski

Sentinel değeri, algoritmadaki özel bir değerdir ve genellikle döngü veya özyinelemeli algoritmaların sonlandırma koşulu olarak kullanılır. Chrome kaynak kodunda birden fazla Sentinel değeri bulunmaktadır ve bu nesnelerin bazıları JavaScript ortamına sızmamalıdır. Bu yazıda, Chrome V8 motorunun HardenProtect mekanizmasını aşmak için Uninitialized Oddball nesnesinin sızdırılmasını inceleyeceğiz.

V8'de Sentinel Değeri

V8'in çoğu yerel nesnesi v8/src/roots/roots.h dosyasında tanımlanmıştır ve bu nesneler bellekte bitişik olarak sıralanır. Bu yerel nesneler JavaScript'e ifşa edilmemesi gerektiği bir durumda sızdırılırsa, sandbox içinde herhangi bir kodun yürütülmesine neden olabilir.

V8'in native fonksiyonlarını değiştirerek Uninitialized Oddball'ı JavaScript'e sızdırabiliriz. Örneğin, %TheHole() fonksiyonunun ofsetini değiştirerek Uninitialized Oddball nesnesini döndürmesini sağlayabiliriz.

HardenType korumasını atlatma

Sızdırılmış Uninitialized Oddball nesnelerini kullanarak, aşağıdaki kod ile göreli olarak rastgele okuma gerçekleştirilebilir:

javascript function read(obj, idx) { return obj[idx]; }

let arr = [1.1, 2.2, 3.3]; let uninitialized_oddball = %TheHole();

for (let i = 0; i < 100000; i++) { read(arr, 0);
}

%OptimizeFunctionOnNextCall(read);

let result = read(uninitialized_oddball, 0x12345); %DebugPrint(sonuç);

Optimize edilmiş read fonksiyonunun derleme kodu, dizi kaydırmasını hesaplarken obj.prop'un değer türünü kontrol etmediğini, doğrudan JavaScript anlamına göre hesapladığını ve böylece tür karışıklığına neden olduğunu, her türlü okumanın gerçekleştirilmesine yol açtığını gösteriyor.

Düzeltme önerisi, optimize edilmiş fonksiyonun dizi elemanlarını döndürürken, dizinin haritasını kontrol etmeyi eklemek ve doğrudan hesaplama yaparak dönen değeri önlemek.

PatchGap risk uyarısı

Bu güvenlik açığı, bazı eski V8 motorunu kullanan yazılımlarda (, Skype ) gibi, hâlâ düzeltilmemiş durumda. x86 platformunda, adres sıkıştırması olmadığı için, rastgele okuma yazma doğrudan tüm işlemlerle ilişkilidir.

Bu yeni aşma yönteminin açıklanması, ilgili açıkların kullanılmasını kolaylaştırdı. Hackerlar, sızdırılan Uninitialized Oddball açığının tam olarak kullanılmasını sağlamak için neredeyse hiç ek araştırma yapmak zorunda kalmadan bunu tamamlayabiliyorlar.

Özet

V8'de başka Sentinel değeri de bulunmaktadır, bu da benzer güvenlik sorunlarına neden olabilir. Daha fazla araştırma yapılması önerilir:

1. Diğer Uninitialized Oddball sızıntıları da V8'in RCE'sini gerçekleştirebilir mi?
2. Bu tür sorunların resmi olarak güvenlik açığı olarak listelenip listelenmeyeceği
3. Fuzzer testlerinde Sentinel değerinin bir değişken olarak dahil edilmesi gerekiyor mu?

Her ne olursa olsun, bu tür sorunlar, hackerların tam istismar süresini önemli ölçüde kısaltacaktır, bu nedenle büyük önem taşımaktadır.