یک آسیب‌پذیری روز صفر(Zero-Day) در گوگل کروم قرار دارد. این آسیب‌پذیری که با شناسه CVE-2025-6558 (امتیاز CVSS: 8.8) شناخته میشود، یک اعتبارسنجی نادرست از ورودی‌های غیرقابل اعتماد در اجزای ANGLE و GPU مرورگر Chrome است که می‌تواند منجر به leak دیتا از sandbox از طریق یک صفحه HTML دستکاری شده شود.
یک آسیب پذیری روز صفر در گوگل کروم مشاهده شده است.
اگر سیستم عامل‌های لینوکس را مدیریت می‌کنید یا امنیت اطلاعات را در هر سطحی مدیریت یا دنبال می‌کنید، باید به این آسیب پذیری اهمیت دهید. زیرا این آسیب‌پذیری به طور فزاینده ای در حال استفاده است. به این معنی که مهاجمان منتظر بروزرسانی شما نمی‌مانند بلکه آنها از قبل از آن برای نفوذ به سیستم‌ها اقدام می‌کنند.
این نقص خاص در ANGLE (Almost Native Graphics Layer Engine) و اجزای رندر GPU کروم وجود دارد. این سیستم‌ها مسئول مدیریت پردازش گرافیکی مرورگر هستند.
به این فکر کنید که کروم قبل از رندر گرافیک‌های پیچیده یا اجرای اسکریپت‌ها، به وظایف یا قوانین تعیین شده خود در برابر آسیب پذیری ها اهمیت ندهد. در اینصورت می تواند چه فاجعه ای رخ دهد.
ANGLE به عنوان یک لایه ترجمه بین موتور رندر کروم و درایورهای گرافیکی مخصوص دستگاه عمل می‌کند. آسیب‌پذیری‌های موجود در این ماژول می‌توانند به مهاجمان اجازه دهند با سوءاستفاده از عملیات سطح پایین پردازنده گرافیکی که مرورگرها معمولاً آنها را ایزوله نگه می‌دارند، از سندباکس کروم فرار کنند و این امر، این مسیر را به مسیری نادر اما قدرتمند برای دسترسی عمیق‌تر به سیستم تبدیل می‌کند.
برای اکثر ماها، فرار از سندباکس مانند بازدید از یک سایت مخرب در خارج از آن حباب امنیتی مرورگر و تعامل با سیستم اصلی آن است. این امر به ویژه در حملات هدفمند که در آن فقط باز کردن یک صفحه وب می‌تواند بدون نیاز به هیچ دانلود یا کلیکی، یک نفوذ خاموش را آغاز کند، بسیار اهمیت دارد.
آسیب پذیری در Google Chrome
چرا CVE-2025-6558 اینقدر مهم است؟
تنها تصور کنید: یک عامل مخرب، یک صفحه HTML دستکاری شده ایجاد می‌کند که از این ضعف اعتبارسنجی استفاده می‌کند. به محض اینکه کسی از Chrome بازدید کرد، سیستم او می‌تواند برای مهاجم نیز باز شود. این تنها یک مساله در سطح اسکریپت‌نویسی ساده نیست؛ بلکه یک سوءاستفاده در دنیای واقعی است که می‌تواند کل سیستم‌ها را به خطر بیندازد.
چیزی که این موضوع را پیچیده‌تر می‌کند این است که چگونه sandboxing – یکی از بزرگترین دفاع‌های Chrome – ممکن است دور زده شود. اگر مهاجمان فرآیندهای رندر را از طریق محتوای سنگین گرافیکی هدف قرار دهند، حتی چیزی که به ظاهر بی‌خطر است، مانند یک انیمیشن وب که می‌تواند یک payload را بیش از حد در خود جای دهد.
زمانی داستان هولناک تر می شود که این آسیب‌پذیری بر روی موتور مرورگر WebKit که مرورگر Safari نیز از آن پشتیبانی می‌کند، تأثیر می‌گذارد.
این آسیب‌پذیری می‌تواند منجر به کرش غیرمنتظره در مرورگر Safari هنگام پردازش محتوای مخرب وب باشد.
آسیب پذیری در Google Chrome
توصیه اولیه برای مقابله با این آسیب پذیری در Google Chrome چیست؟
برای محافظت در برابر تهدیدات احتمالی، توصیه میشود مرورگر کروم خود را به نسخه‌های 138.0.7204.157/.158 برای ویندوز و اپل macOS و 138.0.7204.157 برای لینوکس به‌روزرسانی کنند. برای اطمینان از نصب آخرین به‌روزرسانی‌ها، کاربران می‌توانند به مسیر «بیشتر» > «راهنما» > «درباره گوگل کروم» رفته و «راه‌اندازی مجدد» را انتخاب کنند.
آسیب پذیری در Google Chrome
شرکت اپل چه اقدامی در مورد آسیب پذیری در Safari انجام داده است؟
شرکت اپل مدعی شده که این آسیب پذیری را در نسخه های زیر برطرف نموده است:
- iOS 18.6 و iPadOS 18.6 – آیفون XS و بالاتر، آیپد پرو ۱۳ اینچی، آیپد پرو ۱۲.۹ اینچی نسل سوم و بالاتر، آیپد پرو ۱۱ اینچی نسل اول و بالاتر، آیپد ایر نسل سوم و بالاتر، آیپد نسل هفتم و بالاتر، و آیپد مینی نسل پنجم و بالاتر
- iPadOS 17.7.9 – آیپد پرو ۱۲.۹ اینچی نسل دوم، آیپد پرو ۱۰.۵ اینچی و آیپد نسل ششم
- macOS Sequoia 15.6 – مک‌هایی که macOS Sequoia را اجرا می‌کنند
- tvOS 18.6 – اپل تی‌وی HD و اپل تی‌وی ۴K (همه مدل‌ها)
- watchOS 11.6 – اپل واچ سری ۶ و بالاتر
- visionOS 2.6 – اپل ویژن پرو
به کاربران سایر مرورگرهای مبتنی بر کرومیوم مانند Microsoft Edge, Brave, Opera, و Vivaldi نیز توصیه میشود که اصلاحات را به محض انتشار اعمال نمایند.