クロム2025年のゼロデイ：アングル、V8、モジョのキルチェーン

ブラウザ悪用の状況は2025年に根本的に変化した。何年もの間、DOM（Document Object Model）の「Use-After-Free」（UAF）バグが話題の中心だった。しかし、グーグルの ミラクルトランス (生ポインタ保護メカニズム）と、その広範な実施。 V8サンドボックス成功のハードルは、かつてないほど高くなった。

攻撃者、特に高度なAPTグループと商業監視ベンダーは適応した。2025年のエクスプロイトは単純なクラッシュではなく、エレガントで多段階のキルチェーンだった。それらは V8タイプの混乱 を利用してレンダラーを侵害した。 アングル グラフィックレイヤーが特権的なGPUアクセスを獲得し、悪用された。 モジョIPC ロジックでサンドボックスを脱出する。

この記事では、これらのベクトルについて、以下の点に焦点を当て、筋金入りのテクニカル分析を行う。 CVE-2025-14174 (ANGLE)、 CVE-2025-13223 (V8)、論理的サンドボックスからの脱出 CVE-2025-2783その一方で、AIを活用した自動搾取が、こうした複雑な連鎖を野放し状態になる前に検知する唯一の方法となりつつあることを探っている。

新たな攻撃対象：ANGLEとCVE-2025-14174

脆弱性メタルバックエンドにおける境界外書き込み

コンポーネントANGLE（ほぼネイティブのグラフィックスレイヤーエンジン）

影響GPU プロセスコードの実行

V8が注目される一方で、グラフィックス・スタックはブラウザ・セキュリティの弱点となっている。 CVE-2025-141742025年12月に公開されたANGLE-Chromeは、WebGL/WebGPUコールをネイティブシステムAPI（DirectX、OpenGL、Metal、Vulkan）に変換する抽象化レイヤーを標的としていた。

テクニカル・メカニック

この脆弱性は、ANGLEがWebGLの呼び出しをアップルの メタル API。ウェブページが texImage2D を呼び出すと、ANGLE はテクスチャを GPU のメモリ空間にマッピングするためのメモリストライドとパディングを計算しなければなりません。

CVE-2025-14174では、次のような計算が行われています。 ピクセル深度ピッチ (3Dテクスチャで使用)は、特定のパッキング・アライメント・パラメータ(gl_unpack_alignment)を極端なテクスチャー次元と組み合わせた。

エクスプロイト・プリミティブ

ヒープ風水： 攻撃者はGPUプロセスのヒープに 共有メモリ オブジェクトでメモリチャンクを整列させる。
トリガー： 特定のWebGL描画呼び出しがオーバーフローを引き起こし、攻撃者が制御するテクスチャデータが割り当てられたバッファの境界を越えて書き込まれる。
汚職だ： オーバーフローは ブイテーブル 隣接するヒープチャンクに存在するC++オブジェクトのポインタ。
実行する： GPUプロセスがそのオブジェクトを破壊または使用しようとすると、攻撃者がコントロールする関数ポインターを呼び出します。

なぜこれが重要なのか？

GPUプロセスは特権ターゲットです。厳重に制限されたレンダラープロセスとは異なり、GPUプロセスはカーネルレベルのドライバやウィンドウシステムと直接やりとりします。ここでRCEを獲得すると、多くの場合、OSミティゲーションのいくつかのレイヤーをバイパスします。

Penligent社内で任意のCVEに質問し、OneClick PoCを取得する。

進化したクラシックV8 タイプの混乱 (CVE-2025-13223)

脆弱性JIT最適化の欠陥

コンポーネントV8エンジン（ターボファン）

影響レンダラ RCE (V8 サンドボックス内)

V8サンドボックスはヒープを分離しようとしているにもかかわらず、 V8タイプの混乱 最初の読み書きプリミティブを得るための主要な方法であることに変わりはない。 CVE-2025-13223 ターボファンの最適化パイプラインの不具合を指摘した。

チェックマップの失敗

TurboFanはオブジェクトの型（Map）を仮定することでJavaScriptを最適化する。コードが整数の配列に繰り返しアクセスする場合、TurboFanは整数用に最適化されたマシンコードをコンパイルします。安全性を確保するために チェックマップ ノードである。

CVE-2025-13223は 冗長性の排除 エラーが発生した。オプティマイザは チェックマップ ノードは冗長であり、以前の関数呼び出しの副作用でオブジェクトのMapが変更される可能性があるにもかかわらず、それを削除した。

コンセプチュアル・エクスプロイト

ジャバスクリプト

function vulnerable_opt(arr, trigger_obj) { // 1. TurboFanはarrがDoublesの配列であることを見抜く；

// 2.副作用：この関数は 'arr' をオブジェクトの配列に変更する。
// しかし、TurboFanはバグのため、この呼び出しの後にMapチェックを削除しました。
trigger_obj.toString()；

// 型の混乱：TurboFan は float を書き込みますが、メモリは Object ポインタになっています。
// これはポインタとして解釈されます。
arr[1] = 1.337e-308；

V8サンドボックスを破る

2025年には アドレス そして 偽Obj プリミティブはもはや十分ではない。 V8サンドボックス.このセキュリティ機構は、V8 ヒープを「ケージ」化し、攻撃者は以下のようなメモリ破壊しかできないことを意味します。内部サンドボックス。スタック上のリターン・アドレスを上書きしたり、ケージ外のパーティション・アロケータを変更したりすることはできない。

CVE-2025-13223を武器化するために、攻撃者はこの脆弱性を使って WasmInstanceObject.サンドボックス内に存在する）WebAssemblyインスタンスのジャンプテーブルを変更することで、JITを介してコンパイルされた任意のシェルコードに実行をリダイレクトすることができ、効果的に任意のコードを実行することができる。 レンダラーの制約内で.

クロム2025年のゼロデイ：ANGLE、V8、Mojoのキルチェーン・ペンリゲント

脱出Mojo IPCロジックのバグ (CVE-2025-2783)

脆弱性不適切なパーミッションの検証

コンポーネントモジョIPC（プロセス間通信）

影響サンドボックスからの脱出（完全なシステム侵害）

レンダラーが侵害されても、攻撃者はサンドボックスに閉じ込められたままだ。そこで モジョIPC が入ってきます。Mojoは、信頼されていないレンダラと特権を持つブラウザプロセス間の通信にChromeが使用する高性能なIPCシステムです。

CVE-2025-2783 の実装にロジックの欠陥があったのだ。 ファイルシステムへのアクセス インターフェイスを使用している。

インターフェース定義言語（IDL）の欠陥

Chromeは、IPCインターフェースを モジョム ファイルに脆弱性が存在する。この脆弱性は、一時ファイルへの読み取りアクセスを許可するためのメソッドに存在していた。

C++

// ブラウザプロセスの脆弱なロジック void OnRequestFileAccess(int32 render_frame_id, String file_path) { // 不具合: ブラウザは、パスが「安全」であるかどうか（たとえば、./がない） // をチェックしますが、レンダラーがファイルパスを所有するかどうかは検証しません。// 攻撃者は、プロファイルデータやクッキーへのアクセスを要求することができます。GrantAccess(file_path); }.

エクスプロイト・チェーン

妥協レンダラー： CVE-2025-13223 を使用してネイティブコードを実行します。
フック・モジョ メモリ内のMojoディスパッチテーブルを探す。
フォージ・メッセージ を呼び出して生のMojoメッセージを構築する。 OnRequestFileAccess を、センシティブなユーザー・データを指すパス（例． ログインデータ SQLite DB)。
脱出する： ブラウザプロセスは高い権限でファイル読み取りを実行するため、OSのファイルパーミッションをバイパスしてファイルハンドルをレンダラーに返します。

これは、セキュリティの境界を越えるために有効な機能を無効な方法で使用するという、ブラウザ悪用の「ロジック時代」を象徴している。

検知の未来：AIによるプリミティブ合成

これらの連鎖の複雑さ、特にV8ヒープ破損から安定したプリミティブ、そしてMojoロジックの悪用への飛躍は、人間の手作業による解析を凌駕している。ファザーはクラッシュを見つけるのが得意で、ロジックバグを見つけるのは得意ではありません。

の作戦領域である。 ペンリジェント.

自動エクスプロイト生成（AEG）

Penligentは、"脆弱性スキャン "から "自動エクスプロイト生成 "へとパラダイムをシフトする。

ヒープレイアウト合成： CVE-2025-14174（ANGLE）のような脆弱性に対しては、PenligentのAIエージェントがヒープアロケータの動作を分析し、オーバーフローバッファの隣にターゲットオブジェクトを配置するために必要な正確なアロケーションのシーケンス（Spraying）を自動的に決定します。ヒープ風水」のパズルを数学的に解きます。
IDL論理推論： Mojoエクスプロイト（CVE-2025-2783）については、PenligentはChromeコードベース全体の モジョム の定義に従う。IPCコールの依存関係グラフを構築し、強化学習（RL）を使用して、特権状態の変更をもたらす有効なメッセージのシーケンスを識別する。

プリミティブからエスケープまでの完全なキルチェーンの構築を自動化することで、Penligentは、パッチがエクスプロイト・パスを実際に破壊するのか、それとも単に症状を修正するだけなのかを検証する唯一の信頼できる方法を提供します。

結論と緩和策

2025年のChromeのゼロデイ状況は、"Hardening "時代は機能するが、攻撃者をロジックバグやサブシステムの悪用に向かわせることを教えてくれる。

ハードコア防衛戦略：

厳格なサイト隔離： 確保する ストリクト・オリジン・アイソレーション を有効にすると、レンダラーが侵害された場合でも、クロスオリジンデータのリークを防ぐことができる。
クリティカルゾーンでWebGL/WebGPUを無効にする： 高セキュリティの内部ポータルでは、エンタープライズポリシーを使用してハードウェアアクセラレーションを無効にし、ANGLE攻撃対象（CVE-2025-14174）を効果的に無効化する。
IPCモニタリング： 防御チームは、内部 IPC トラフィックの監視を開始する必要があります。EDRがMojoメッセージを見ることはめったにないが、まさにそこでブレイクアウトが起こる。

戦いはスタックとヒープからブラウザのアーキテクチャのロジック・ゲートに移った。セキュリティ・エンジニアは、それに応じてツールと考え方を適応させなければならない。