In Origin We Trust：特権サイドからChromiumを攻略する
DAY 1
16:20-
17:00
ブラウザーセキュリティは困難である。特に、世界中の極めて優秀な頭脳がすべて同じ標的に集中している状況においてはなおさらである。長年にわたる緩和策（ミティゲーション）の導入により、現代のChromiumにおけるフルチェーン（一連の攻撃シーケンス）は、最も困難なエクスプロイトの一つとなっている。すなわち、V8やBlinkにおけるメモリ破損バグ、レンダラーを掌握するためのV8サンドボックスのバイパス、そしてそこから脱出するためのMojo IPCやカーネルにおける別のバグの悪用、といった手順が必要となる。 しかし、これらすべてをスキップして、その特権プロセスを直接狙うとしたらどうだろうか。 本講演では、メモリ破損バグを一切排除し、純粋なロジックのみでChromiumのセキュリティモデルに挑む。それも、すべてブラウザプロセス内部の処理である。我々は約20個のロジックバグを発見し、それらを組み合わせて3つの攻撃チェーンを構築した。すなわち、複数のUXSSの同時実行、0クリックでの任意のファイル読み込み、そしてPwn2Own 2026で実演したMicrosoft Edgeのフルチェーンである。本セッションでは、復活した攻撃面（アタックサーフェス）や新たな攻撃面、特権オリジン間における「アイランドホッピング（段階的な侵入）」、レンダラーとブラウザ間の信頼境界、そしてAIがどのように貢献したかについて解説する。 すべてのバグが同じ価値を持って生まれてくるわけではない。中には悪用不可能に見えるものや、仕様（フィーチャー）のように見えるものすらある。しかし、それらを正しく連鎖（チェーン）させることで、最も無害に見えるバグであっても、この「大脱出（ブラウザ脱出）」を成し遂げるための極めて重要な一翼を担うことになる。
-
Location :
-
Track 1(HALL B)
-
-
Category :
-
Technical
-
-
Share :
Speakers
-
Orange Tsai
オレンジ・ツァイ
Orange Tsai is the principal security researcher at DEVCORE and a core member of CHROOT Security Group in Taiwan. He is also the champion and "Master of Pwn" holder at Pwn2Own Vancouver 2021, Toronto 2022, and Berlin 2026, as well as a PHRACK #72 author. Over the years, Orange has spoken at several top hacking conferences such as Black Hat USA (6 times), DEF CON (5 times), HITCON (14 times), CODE BLUE (6 times), RomHack (2 times), Hexacon, POC, HITB, and WooYun!
Orange is a 0day researcher focusing on Web & App Security. His research not only earned him the Pwnie Award for "Best Server-Side Bug" in 2019 and 2021 but also secured 1st place in the "Top 10 Web Hacking Techniques" for 2017, 2018, and 2024.
You can find him at @orange_8361 and https://blog.orange.tw/