V8エンジンのSentinel Valueの漏洩が安全リスクを引き起こすため、警戒が必要です。

Sentinel ValueのChrome V8における応用とそのセキュリティリスク

V8エンジンには、TheHoleやUninitialized Oddballなどのさまざまな特殊なSentinel Valueオブジェクトが存在します。これらのオブジェクトは本来JavaScript環境に漏洩するべきではありませんが、特定の脆弱性によって露出する可能性があり、それがセキュリティ問題を引き起こす可能性があります。

最近、研究者たちは、Uninitialized Oddballオブジェクトの漏洩を通じてV8のHardenType保護メカニズムを回避できることを発見しました。この方法は、Project Zeroチームのメンバーが提出した問題報告に最初に登場し、現在の最新バージョンのV8でも有効です。

この回避方法は普遍的であり、CVE-2021-30551やCVE-2022-1486など、複数の歴史的な脆弱性の利用に使用できます。これは脆弱性の悪用の難易度を下げ、初期化されていないOddballオブジェクトの漏洩だけでリモートコードの実行が可能になることがあります。

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

この方法を検証するために、V8のネイティブ関数%TheHole()を修正して、未初期化のOddballオブジェクトを返すようにできます。テストの結果、これは実際に相対的に任意のメモリ読み取りを実現できることが示されています。

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

最適化されたJavaScriptコードでは、V8は配列要素の型を十分にチェックせず、オフセットで計算して値を返すため、型の混同や任意の読み取りが発生します。このような事態を避けるために、最適化プロセスで配列のマップのチェックを追加することをお勧めします。

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

この回避方法の発見は、いくつかの重要な問題を浮き彫りにしています:

1. 他のSentinel Valueオブジェクトの漏洩も同様に危険です
2. 関連する問題が正式なセキュリティ脆弱性と見なされるべきかどうかは依然として議論の余地があります
3. フォグテストでは、Sentinel Valueを変数として導入することを検討できます

いずれにせよ、この種の問題はハッカーが完全に悪用するまでの期間を大幅に短縮するため、高く評価されるべきです。関連するソフトウェアベンダーは、潜在的なリスクを低減するために影響を受けたバージョンを迅速に修正する必要があります。

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value

! 独占公開バイパスChrome v8 HardenProtect by Leaking Sentinel Value