Chrome 緊急修復(fù)兩大高危遠(yuǎn)程代碼執(zhí)行漏洞
Google已針對(duì)Windows、Mac和Linux平臺(tái)的Chrome瀏覽器發(fā)布緊急安全更新，修復(fù)了一個(gè)可能導(dǎo)致攻擊者遠(yuǎn)程執(zhí)行任意代碼的高危漏洞。強(qiáng)烈建議用戶立即更新瀏覽器以防范潛在威脅。
更新版本詳情
穩(wěn)定版通道已更新至以下版本：
- Windows：140.0.7339.127/.128
- Mac：140.0.7339.132/.133
- Linux：140.0.7339.127
此次更新正在逐步推送，預(yù)計(jì)將在未來(lái)數(shù)日乃至數(shù)周內(nèi)覆蓋所有用戶。該補(bǔ)丁緊隨Chrome 140初始版本發(fā)布，后者也修復(fù)了若干其他安全問(wèn)題。
漏洞詳情速覽
CVE編號(hào) | 嚴(yán)重等級(jí) | 漏洞描述 | 受影響組件 | 漏洞賞金 |
CVE-2025-10200 | 高危 | 釋放后使用(Use-after-free) | Serviceworker | 43,000美元 |
CVE-2025-10201 | 高 | 不當(dāng)實(shí)現(xiàn)(Inappropriate implementation) | Mojo | 30,000美元 |
高危釋放后使用漏洞
本次更新修復(fù)了兩個(gè)重大安全缺陷，其中最嚴(yán)重的是CVE-2025-10200。該漏洞被評(píng)定為高危級(jí)別，屬于Serviceworker組件中的"釋放后使用"(Use-after-free)缺陷。
當(dāng)程序嘗試訪問(wèn)已被釋放的內(nèi)存時(shí)，就會(huì)觸發(fā)釋放后使用漏洞，可能導(dǎo)致程序崩潰、數(shù)據(jù)損壞，最嚴(yán)重情況下可被利用執(zhí)行任意代碼。攻擊者可通過(guò)構(gòu)造惡意網(wǎng)頁(yè)來(lái)利用此漏洞，當(dāng)用戶訪問(wèn)該網(wǎng)頁(yè)時(shí)，攻擊者便能在受害者系統(tǒng)上運(yùn)行惡意代碼。
安全研究員Looben Yang于2025年8月22日?qǐng)?bào)告了這一高危漏洞。鑒于該發(fā)現(xiàn)的嚴(yán)重性，Google向其頒發(fā)了43,000美元的漏洞賞金。
Mojo組件高危實(shí)現(xiàn)缺陷
本次修復(fù)的第二個(gè)漏洞CVE-2025-10201被評(píng)定為高嚴(yán)重等級(jí)，屬于"Mojo組件中的不當(dāng)實(shí)現(xiàn)"。Mojo是一組用于Chromium(Chrome瀏覽器底層開(kāi)源項(xiàng)目)進(jìn)程間通信的運(yùn)行時(shí)庫(kù)。
該組件的缺陷尤為危險(xiǎn)，因?yàn)樗鼈兛赡芷茐臑g覽器的沙箱機(jī)制——這一關(guān)鍵安全特性通過(guò)隔離進(jìn)程來(lái)防止漏洞利用影響底層系統(tǒng)。Sahan Fernando和一位匿名研究員于2025年8月18日?qǐng)?bào)告了該漏洞，兩人共獲得30,000美元賞金。
更新建議
Google正在逐步推送更新，用戶也可通過(guò)以下路徑手動(dòng)檢查并安裝更新：設(shè)置 > 關(guān)于Google Chrome。瀏覽器將自動(dòng)掃描最新版本并提示用戶重啟以完成更新。
按照標(biāo)準(zhǔn)做法，Google已限制漏洞詳細(xì)信息的訪問(wèn)權(quán)限，以防止大多數(shù)用戶安裝補(bǔ)丁前出現(xiàn)漏洞利用程序。這凸顯了及時(shí)安裝安全更新的重要性。
