[dancinlife]

typed-leaf(i64/f64) 는 SHIPPED DEFAULT 인데 결함이 세 겹이었다. 하나만 고쳐서는 SIGSEGV 가 사라지지 않는다.

★ 클래스 C (레이아웃 표류) — 진짜 근인

C   { int64_t* data@0 ; int64_t len@8 ; int64_t cap@16 }   24B   (#3352 에서 i64 확장)
시드 malloc(16) · store32(a,8) · store32(a,12)              16B   (#4917, 그 한참 뒤)

코드젠은 len 을 +8 에서 64비트로 읽는다 → len = (cap<<32)|len = 거대값 → bounds check 를 통과해 배열 밖을 읽는다. 역방향(C 가 만든 24B 배열 → 시드 push)은 cap 을 +12(len 의 상위 32비트)에서 읽어 cap=0 → realloc(old,0) = free → 직후 그 포인터로 store → UAF.

시드 주석 자체가 stale 했다 — 존재하지도 않는 runtime.h HexaArrI64 를 인용하고, 심지어 "load64 쓰지 마라"고 경고까지 하고 있었다.

클래스 B (스칼라-ABI) · 클래스 A (raw libc egress)

C 프로토타입은 스칼라(new(int cap) → cap 은 rdi 단독)인데 aprime 는 시드의 모든 파라미터를 (tag,payload) 쌍으로 낮춘다. cpp #define 브리지로는 못 고친다 — 호출자가 3종(runtime_core.c · gen2 가 뱉는 user.c · 백엔드가 뱉는 raw asm call)이고 cpp 는 뒤 둘에 도달하지 못한다. 그리고 hexa_int 도 C-ABI 스칼라라 같은 함정인데, sanctioned allow-list 에 숨어 있어 이름 게이트로는 영원히 잡히지 않았다.

FIX — 셋 동시

클래스	수정
C	24B/i64 + store64/load64 전면 교체 (정답지 = arr_zeros_leaf.hexa:61-63)
B	thunk — 시드를 *_seed 로 rename + all-HexaVal 시그니처, C 가 정식 이름을 C-ABI thunk 로 소유 → 3종 호출자 전부 착지
A	hexa_heap_alloc/realloc carrier 치환 + hexa_int 제거 + OOM 경로 → hexa_throw

rename 은 flag-day 가드이기도 하다: 낡은 runtime.a 는 undefined symbol 로 시끄럽게 죽지, #4930 처럼 조용히 레지스터를 잘못 넘기지 않는다.

검증 (summer · GitHub 새 clone A/B · 실제 runtime.a 링크 스모크, 격리 stub 아님)

A) 새 클론 + main        빌드 OK          ← 대조군
B) 새 클론 + 이 패치      빌드 OK

new(2)    → descriptor len@8=0, cap@16=2
len()     → 0
push x5   → cap 2 를 넘겨 realloc 2회 성장(2→4→8) → len()=5, cap@16=8
box(0..4) → 100,101,102,103,104          2/2 PASS

구 시드는 바로 이 지점에서 SIGSEGV / UAF 였다.

.s 시드 6개 재생성 완료 — 4/4 T defined, U-floor clean (외부 호출: carrier 3종 + arm64 의 hexa_bool 뿐, raw libc 0).

근거 전문(30 에이전트 · 적대적 반증 23건) = state/hexa-own/typed_leaf_abi_layout_audit.md

🤖 Generated with Claude Code