Time Table

ブラウザーセキュリティは困難である。特に、世界中の極めて優秀な頭脳がすべて同じ標的に集中している状況においてはなおさらである。長年にわたる緩和策（ミティゲーション）の導入により、現代のChromiumにおけるフルチェーン（一連の攻撃シーケンス）は、最も困難なエクスプロイトの一つとなっている。すなわち、V8やBlinkにおけるメモリ破損バグ、レンダラーを掌握するためのV8サンドボックスのバイパス、そしてそこから脱出するためのMojo IPCやカーネルにおける別のバグの悪用、といった手順が必要となる。 しかし、これらすべてをスキップして、その特権プロセスを直接狙うとしたらどうだろうか。 本講演では、メモリ破損バグを一切排除し、純粋なロジックのみでChromiumのセキュリティモデルに挑む。それも、すべてブラウザプロセス内部の処理である。我々は約20個のロジックバグを発見し、それらを組み合わせて3つの攻撃チェーンを構築した。すなわち、複数のUXSSの同時実行、0クリックでの任意のファイル読み込み、そしてPwn2Own 2026で実演したMicrosoft Edgeのフルチェーンである。本セッションでは、復活した攻撃面（アタックサーフェス）や新たな攻撃面、特権オリジン間における「アイランドホッピング（段階的な侵入）」、レンダラーとブラウザ間の信頼境界、そしてAIがどのように貢献したかについて解説する。 すべてのバグが同じ価値を持って生まれてくるわけではない。中には悪用不可能に見えるものや、仕様（フィーチャー）のように見えるものすらある。しかし、それらを正しく連鎖（チェーン）させることで、最も無害に見えるバグであっても、この「大脱出（ブラウザ脱出）」を成し遂げるための極めて重要な一翼を担うことになる。