Google выпустила внеплановые обновления безопасности для браузера Chrome, закрывающие новую уязвимость нулевого дня, которая уже используется в реальных атаках. Это восьмой 0‑day‑эксплойт, исправленный в Chrome с начала 2025 года, что подчеркивает стабильный интерес злоумышленников к этой экосистеме.
Какие версии Google Chrome получили срочный патч
Обновления уже распространяются для всех основных настольных платформ. Исправления включены в версии:
Windows: Chrome 143.0.7499.109
macOS: Chrome 143.0.7499.110
Linux: Chrome 143.0.7499.109
По данным Google, патч уже доступен большинству пользователей, однако полное развертывание может занять несколько дней. Это стандартная практика поэтапного распространения обновлений, но в контексте активно эксплуатируемой уязвимости откладывать установку крайне нежелательно.
Необычная анонимная 0-day: без CVE и с внутренним идентификатором
Одна из примечательных особенностей текущего инцидента — отсутствие публичного CVE-идентификатора. Google временно отслеживает уязвимость по внутреннему номеру 466192044 и пометила её статус как «under coordination». Это означает, что компания координирует раскрытие технических деталей и атрибуцию с внешними партнёрами или другими поставщиками программного обеспечения.
На момент публикации не раскрывается, кто именно обнаружил баг, как давно он известен и какой конкретный компонент браузера изначально был затронут. Сообщается лишь, что критичность уязвимости оценивается как высокая, а значит, её эксплуатация способна привести как минимум к нарушению конфиденциальности или целостности данных пользователя.
LibANGLE и переполнение буфера в рендерере Metal
Судя по информации из баг‑трекера Chromium, корень проблемы связан с библиотекой LibANGLE — это открытая прослойка, которая транслирует вызовы OpenGL ES в другие графические API: Direct3D, Vulkan и Metal. Данная компонента широко используется для обеспечения кроссплатформенной графики в Chrome.
В отчёте упоминается переполнение буфера в рендерере Metal, возникающее из‑за некорректной обработки размеров буфера. Подобные ошибки управления памятью приводят к:
– повреждению памяти (memory corruption);
– потенциальным утечкам чувствительных данных;
– возможности выполнения произвольного кода в контексте процесса рендера.
Переполнение буфера — один из классических и наиболее опасных типов уязвимостей. В браузере оно особенно критично, поскольку может использоваться как для обхода песочницы (sandbox escape), так и для развертывания дальнейшей цепочки атак, например получения доступа к системе пользователя.
Type confusion, use-after-free и другие типичные атаки на Chrome
Эксперты по информационной безопасности предполагают, что новая проблема по своей эксплуатации близка к классам type confusion и use-after-free, традиционно характерным для движка JavaScript V8 и графических подсистем. Многие успешные 0‑day‑атаки на Chrome используют комбинацию подобных ошибок для:
– удалённого выполнения кода в процессе рендера;
– выхода из песочницы и повышения привилегий;
– установки шпионского ПО или кражи аутентификационных данных.
Пока Google намеренно ограничивает объём технических сведений, чтобы усложнить воспроизведение эксплойта другими злоумышленниками, которые ещё не располагают рабочими цепочками атак.
Восьмой 0-day в Chrome с начала 2025 года
С начала 2025 года Google уже закрыла в Chrome семь уязвимостей нулевого дня, и текущая анонимная проблема стала восьмой. Для сравнения, за весь 2024 год компания устранила в браузере 10 0-day‑уязвимостей. Часть из них была публично продемонстрирована на соревнованиях по взлому Pwn2Own, а остальные были выявлены в ходе реальных целевых атак.
Такая динамика подтверждает устойчивый тренд: современные браузеры остаются одним из ключевых векторов атаки. Причины очевидны — огромная пользовательская база, сложная кодовая база с большим числом интеграций и привилегированный доступ к конфиденциальным данным и учётным записям.
Что делать пользователям и компаниям
До публикации детальных технических сведений основная и самая эффективная мера защиты — незамедлительно обновить Chrome до последних версий на всех рабочих станциях и серверах, где используется браузер. Для корпоративной среды это особенно важно, поскольку браузер часто является точкой входа для фишинговых и целевых атак.
Рекомендуется:
– включить автоматические обновления Chrome и регулярно проверять номер версии;
– использовать централизованное управление обновлениями в доменной инфраструктуре;
– ограничить установку плагинов и расширений до проверенных источников;
– сегментировать рабочие места с повышенными рисками (администраторы, сотрудники финансовых и юридических подразделений);
– обучать сотрудников базовой гигиене кибербезопасности, чтобы минимизировать успех фишинга и социальной инженерии.
Частая поява 0‑day‑уязвимостей в браузерах не является поводом для паники, но служит напоминанием: безопасность — это непрерывный процесс. Регулярное обновление программного обеспечения, внимательное отношение к настройкам браузера и использование многоуровневой защиты помогают существенно снизить риск успешной атаки, даже когда злоумышленники опережают разработчиков на шаг.
