Указатель в никуда. Разбираем недавний баг use after free в Chrome

Уяз­вимость отно­сит­ся к use after free (UAF). Учас­ток памяти осво­бож­дает­ся, но ука­затель на него сох­ранен и может быть пов­торно исполь­зован. В край­нем слу­чае зло­умыш­ленник получит пол­ноцен­ную RCE, под­ложив в память фей­ковый объ­ект нуж­ного раз­мера с собс­твен­ными фун­кци­ями. Оста­нет­ся добить­ся, что­бы алло­катор сно­ва выделил этот учас­ток памяти. При­ложе­ние пыта­ется выз­вать легитим­ную фун­кцию или метод, но выпол­няет­ся то, что хакер под­ложил.

Уяз­вимость CVE-2026-2441 обна­ружи­лась в под­систе­ме CSS движ­ка Blink. Дви­жок занима­ется пре­обра­зова­нием HTML, CSS и JS в пол­ноцен­ные веб‑стра­ницы: код HTML кон­верти­рует в DOM, а код CSS — в CSSOM. Внут­ри CSSOM соз­дают­ся струк­туры, пред­став­ляющие пра­вила. Уяз­вимость — в обра­бот­ке пра­вила @font-feature-values. Изме­няя эле­мен­ты это­го пра­вила в JS-коде, зло­умыш­ленник может ата­ковать бра­узер.

Пра­вило @font-feature-values помога­ет веб‑раз­работ­чикам сде­лать код CSS более чита­емым и управля­емым. Внут­ри помеща­ется набор име­нован­ных зна­чений. В статье я буду исполь­зовать @styleset, но имя может быть любым. В наборе челове­кочи­таемым наз­вани­ям прис­ваивают­ся чис­ловые зна­чения OpenType. При­мер исполь­зования:

Blink при работе соз­дает для бло­ка @styleset внут­реннюю хеш‑таб­лицу на осно­ве WTF::HashMap. Дос­туп к этой струк­туре из JavaScript про­исхо­дит через объ­ект CSSFontFeatureValuesMap. Это обер­тка над внут­ренним кон­тей­нером движ­ка.

Проб­лема воз­ника­ет при исполь­зовании ите­рато­ров. При вызове в JavaScript map.entries() Blink соз­дает в табе объ­ект‑ите­ратор FontFeatureValuesMapIterationSource. В уяз­вимой вер­сии ите­ратор хра­нил сырой ука­затель на внут­ренний кон­тей­нер FontFeatureAliases.

Кон­тей­нер FontFeatureAliases — это али­ас WTF::HashMap, объ­явленный через using. Информа­цию мож­но най­ти в ис­ходни­ках Chromium:

Ес­ли во вре­мя ите­рации про­исхо­дит мутация, нап­ример set() или delete(), кон­тей­нер может выпол­нить рехеш — перерас­пре­делить память, перенес­ти эле­мен­ты в новый буфер и осво­бодить ста­рый. Но ука­затель внут­ри ите­рато­ра оста­ется преж­ним. Он ука­зыва­ет на осво­бож­денный учас­ток памяти. Это UAF в чис­том виде.