Veszélyes nulladik napi sebezhetőség a Google Chrome-ban; a felhasználóknak tisztában kell lenniük vele.

A Google nemrég kiadott egy sürgősségi javítást a Chrome-hoz, amely két kritikus sebezhetőséget, köztük egy kihasznált nulladik napi sebezhetőséget javít. A felhasználókat arra figyelmeztetik, hogy azonnal frissítsék böngészőjüket a személyes adatok szivárgásának elkerülése érdekében.

Két kritikus nulladik napi sebezhetőség a Chrome-ban.

A Google nemrég kiadott egy sürgősségi frissítést a Chrome böngészőhöz, amely két kritikus biztonsági rést javít, köztük egy nulladik napi sebezhetőséget, amelyet a hackerek aktívan kihasználnak.

Kiberbiztonsági szakértők figyelmeztetnek, hogy világszerte több milliárd felhasználó lehet kitéve érzékeny adatszivárgás veszélyének, beleértve a munkamenet-tokeneket, sütiket és bejelentkezési adatokat.

Két komoly sebezhetőség: A sérülékenységek tényleges kihasználása és az adatszivárgás.

Az első, CVE-2025-5419 néven azonosított sebezhetőség a V8 Engine-ben – a Chrome JavaScript és WebAssembly processzorában – jelent meg.

A Google hivatalos bejelentése szerint ez a sebezhetőség lehetővé teszi a támadók számára, hogy a lefoglalt memóriaterületen túl is olvasási és írási műveleteket hajtsanak végre, megnyitva az utat a távoli kódfuttatás előtt.

Valójában a hackerek egyszerűen egy, a sebezhetőséget kihasználó webhely elérésével átvehetik az irányítást a böngészőjük vagy eszközük felett. A Google megerősítette, hogy ezt a sebezhetőséget már a nyilvános bejelentés előtt kihasználták, így az év első felének egyik legaggasztóbb kiberbiztonsági fenyegetése lett.

A második sebezhetőség, a CVE-2025-4664 , azzal kapcsolatos, hogy a böngészők hogyan kezelik a HTTP fejléceket és a hivatkozói szabályzatot a kiegészítő erőforrások betöltésekor. A kutatók szerint a hackerek kihasználhatják ezt a gyengeséget, hogy URL-eken keresztül bizalmas információkat gyűjtsenek, beleértve az OAuth hozzáférési tokeneket, a munkamenet-azonosítókat és a privát adatokat tartalmazó paramétereket.

Veszélyesebb, hogy ez a támadási mechanizmus észrevétlenül is megtörténhet, és a felhasználótól semmilyen beavatkozást nem igényel, csupán egy kártevővel fertőzött webhely elérését.

Globális riasztás és a Google válasza

A Google válasza az incidens után.

Közvetlenül a sebezhetőségek felfedezése után a Google kiadta a megfelelő biztonsági frissítéseket: a 137.0.7151.68/.69-es verziót Windows, Linux és macOS rendszerekre a CVE-2025-5419 sérülékenység javítására, valamint a 136.0.7103.113/.114-es verziót a CVE-2025-4664 sérülékenység javítására.

Az olyan kiberbiztonsági ügynökségek, mint az amerikai CISA és az indiai CERT-In, sürgős figyelmeztetéseket adtak ki, amelyekben arra sürgetik a felhasználókat és a szervezeteket, hogy azonnal frissítsék Chrome böngészőiket, hogy elkerüljék a folyamatos támadások áldozatait.

Kockázatok az egyéni felhasználók és a vállalkozások számára

Biztonsági szakértők úgy vélik, hogy mindkét sebezhetőséget kihasználhatják személyes adatok ellopására, böngészők feletti irányítás megszerzésére, sőt akár nagyobb léptékű támadásokhoz, például rosszindulatú programok telepítéséhez, kémkedéshez vagy zsarolóvírusok titkosításához is.

Mivel a sebezhetőségek kihasználásához szükséges idő egyre csökken, az információk közzététele után napokról már csak órákra, az időben történő szoftverfrissítések kulcsfontosságúak.

Továbbá, mivel a sebezhetőséget szinte azonnal a felfedezés után kihasználják , a támadók órákon belül kiadhatnak rosszindulatú programokat, hatalmas nyomást gyakorolva azokra a rendszerekre, amelyeknek nem volt idejük frissíteni.

Az adatok megelőzésének és védelmének módjai

Több milliárd Chrome-felhasználónak kell azonnal frissítenie.

Egyéni felhasználóknak azt tanácsoljuk, hogy a verzió ellenőrzéséhez és a böngésző azonnali frissítéséhez a Súgó menü „A Google Chrome névjegye” részében nyissák meg a böngészőt (Lépjenek a Menü > Súgó > A Google Chrome névjegye menüpontra). A frissítés után újra kell indítani a böngészőt a javítás telepítésének biztosítása érdekében.

Ugyanakkor a felhasználóknak kerülniük kell a gyanús linkekre való kattintást, különösen e-mailekből, közösségi médiából vagy megbízhatatlan webhelyekről.

A kockázatok minimalizálása érdekében biztonsági szoftverek, URL-szűrők vagy más biztonságos böngészési eszközök használata is ajánlott.

Azoknak a vállalkozásoknak és szervezeteknek, amelyeknek automatikus Chrome-frissítéseket kell telepíteniük a hálózatukon lévő összes eszközre, figyelniük kell a hálózati hozzáférési tevékenységet az anomáliák észlelése érdekében, és belsőleg értesíteniük kell az alkalmazottakat a potenciális adatszivárgásokról.

Az olyan automatizált biztonsági monitorozó eszközök, mint a Wazuh vagy a sandbox megoldások, szintén használhatók a sebezhetőségek kihasználására használt exploitok észlelésére.

A nemrég nyilvánosságra hozott sebezhetőségek azt mutatják, hogy a böngészők biztonságát nem szabad félvállról venni, különösen mivel a Chrome jelenleg a világ legnépszerűbb platformja.

Bár a Google gyorsan reagált a javításokkal, a végfelhasználók védelmének felelőssége végső soron az övék. A digitális korban az időben történő szoftverfrissítések és a személyes adatok biztonságának tudatosítása vált az első és legfontosabb védelmi vonallá.

PHAN HAI DANG

Forrás: https://tuoitre.vn/lo-hong-zero-day-nguy-hiem-บน-google-chrome-nguoi-dung-chu-y-20250610102157359.htm