1_vulnerability_analysis_whitepapers

1_vulnerability_analysis_whitepapers

Intro

퍼징을 위한 어택 벡터 선정을 위해 크롬 원데이를 재현하고 루트커즈 분석을 진행했다. 우리가 분석¹ 혹은 이미 분석이 되어 있는 글을 번역한 보고서를 공유한다. 번역과 함께 원데이를 재현한 후 직접 루트커즈 분석을 했음을 미리 알린다.

또한 개인 사정에 따라 공개하지 않는 보고서가 있음에 미리 양해를 구한다.

Contents

• CVE-2018-6036²
  • crbug
  • wasm의 custom 섹션을 해석하는 DecodeCustomSections함수에서 payload의 길이 검증을 하지 않아 integer underflow 취약점이 발생하여 Out-Of-Bound Read가 발생할 수 있음

• CVE-2018-6092²

  • crbug
  • 32bit 플랫폼에서 integer overflow를 이용하여 로컬 함수의 수를 검증하는 루틴을 건너뛸 수 있기 때문에 많은 수의 로컬함수가 할당(insert)되어 memory corruption이 발생할 수 있음

• CVE-2020-6449³

  • crbug
  • BreakConnections함수가 호출되고 frame을 닫아(BaseAudioContext를 파괴하여) ClearHandlersToBeDeleted 함수가 호출되면, active_source_handlers_가 지워지게 되는데, 이때 이것과 연관되어 있는 finished_source_handlers_는 동시에 지워지지 않고 BreakConnections 함수에서 사용되어 UAF가 발생할 수 있음
  • 원글1과 원글2⁴ 번역 진행

• CVE-2020-6551²

  • crbug
  • XRSystem::FocusedFrameChanged함수의 반복문 안에서 이터레이터를 얻어와 처리하는 도중, JS 콜백이 호출되어 맵이 재할당되기 때문에 댕글링 포인터가 된 이터레이터를 사용하면 UAF가 발생할 수 있음

• CVE-2020-6576⁵

  • crbug
  • 텍스트 렌더러 기능을 하는 DrawTextInternal 함수에서 free된 PaintCanvas 포인터가 재사용하는 것으로 인해 UAF 취약점이 발생할 수 있음

• CVE-2020-15999⁶
  • crbug
  • FreeType에서 4바이트의 PNG width, height 값을 2바이트로 저장하기 때문에 더 적은 크기의 비트맵 chunk가 할당되고, 그 곳에 비트맵 데이터를 입력받으면 heap overflow 취약점이 발생할 수 있음

• CVE-2020-16002⁷
  • crbug
  • CPWL_ListBox 에서 한 member의 destructor logic에서 다른 member에 대한 참조가 필요한데, destructor 호출 전에 해당 member가 delete되어 UAF취약점이 발생할 수 있음

• CVE-2021-30519⁸
  • crbug
  • Payments API에서 관련 객체가 삭제되었음에도 불구하고 삭제되지 않은 WebContentsModalDialogManagerDelegate에 엑세스함으로써 UAF 취약점이 발생할 수 있음

Footnotes

1. 인터넷에 분석 글이 공개되어 있지 않은 경우, 소스코드 오디팅을 통해 직접 분석을 진행함. ↩

2. 손현지가 분석 진행 ↩ ↩² ↩³

3. 손현지가 번역 진행 ↩

4. 번역한 내용 비공개 ↩

5. 이주협이 분석 진행 ↩

6. 홍택균이 분석 진행 ↩

7. 심준용이 분석 진행 ↩

8. 이윤희가 분석 진행 ↩