08.07.2026 19:06
🔥 Longinus (CVE-2026-6307): Как один баг пробивает песочницу V8 и Chrome Renderer Команда Nebula Security опубликовала
🔥 Longinus (CVE-2026-6307): Как один баг пробивает песочницу V8 и Chrome Renderer
Команда Nebula Security опубликовала шикарный райтап по критической уязвимости в движке V8 (затрагивает Chrome до версии 147.0.7727.101). Баг получил кодовое имя Longinus — и он действительно пронзает защиту насквозь.
Суть уязвимости кроется в классическом, но очень изящном Type Confusion внутри JIT-компилятора TurboFan.
⚙️ Под капотом:
• Проблема возникает при инлайнинге вызовов JS-to-Wasm и некорректном слиянии состояний FrameState.
• Когда спекулятивные предположения компилятора о типах нарушаются в рантайме, ожидаемой деоптимизации (lazy deopt) не происходит.
• В результате оптимизированный машинный код продолжает оперировать объектами с совершенно неверным layout'ом памяти.
💥 К чему это приводит:
Обычно для полноценного RCE и побега из песочницы требуется целая цепочка эксплоитов. Longinus уникален тем, что справляется в одиночку:
1. Дает 100% надежный примитив произвольного чтения/записи (arbitrary read/write) внутри песочницы V8 без использования хитрых техник вроде heap spraying.
2. Позволяет "сбежать" из V8 sandbox и писать в память за его пределами, что обеспечивает RCE в процессе рендерера.
В репозитории исследователей даже доступен рабочий PoC эксплоита. Это просто отличный кейс для тех, кто увлекается анализом уязвимостей, малварью и устройством современных браузерных движков.
🔗 Полный технический разбор и детали эксплоита: https://nebusec.ai/research/v8-cve-2026-6307-writeup/?p
👉 @thehaking
Команда Nebula Security опубликовала шикарный райтап по критической уязвимости в движке V8 (затрагивает Chrome до версии 147.0.7727.101). Баг получил кодовое имя Longinus — и он действительно пронзает защиту насквозь.
Суть уязвимости кроется в классическом, но очень изящном Type Confusion внутри JIT-компилятора TurboFan.
⚙️ Под капотом:
• Проблема возникает при инлайнинге вызовов JS-to-Wasm и некорректном слиянии состояний FrameState.
• Когда спекулятивные предположения компилятора о типах нарушаются в рантайме, ожидаемой деоптимизации (lazy deopt) не происходит.
• В результате оптимизированный машинный код продолжает оперировать объектами с совершенно неверным layout'ом памяти.
💥 К чему это приводит:
Обычно для полноценного RCE и побега из песочницы требуется целая цепочка эксплоитов. Longinus уникален тем, что справляется в одиночку:
1. Дает 100% надежный примитив произвольного чтения/записи (arbitrary read/write) внутри песочницы V8 без использования хитрых техник вроде heap spraying.
2. Позволяет "сбежать" из V8 sandbox и писать в память за его пределами, что обеспечивает RCE в процессе рендерера.
В репозитории исследователей даже доступен рабочий PoC эксплоита. Это просто отличный кейс для тех, кто увлекается анализом уязвимостей, малварью и устройством современных браузерных движков.
🔗 Полный технический разбор и детали эксплоита: https://nebusec.ai/research/v8-cve-2026-6307-writeup/?p
👉 @thehaking