Корпорация Google выпустила экстренное обновление для браузера Chrome, закрывающее три опасные уязвимости, связанные с ошибками обработки памяти. Новая версия 141.0.7390.65/.66 для Windows и macOS, а также 141.0.7390.65 для Linux уже доступна для загрузки через систему автоматического обновления. Все обнаруженные недостатки безопасности позволяют злоумышленнику выполнить произвольный код в контексте браузера при посещении пользователем специально созданной веб-страницы.
Детали уязвимостей
Уязвимости были выявлены независимыми исследователями в рамках программы вознаграждений за уязвимости (Bug Bounty Program) Google. Размер вознаграждений составил от 3000 до 5000 долларов в зависимости от серьезности и сложности эксплуатации найденных недостатков. Наиболее существенной признана уязвимость CVE-2025-11458 в компоненте Chrome Sync, представляющая собой переполнение кучи (heap buffer overflow). Исследователь под псевдонимом raven из KunLun Lab обнаружил, что злоумышленник может сформировать вредоносные данные синхронизации, которые при обработке браузером приводят к выходу за пределы выделенного буфера памяти. Это создает условия для выполнения произвольного кода. Отчет об этой уязвимости высокого уровня опасности был направлен 5 сентября 2025 года, а автор получил вознаграждение в размере 5000 долларов.
Вторая серьезная проблема зарегистрирована под идентификатором CVE-2025-11460 и классифицирована как использование освобожденной памяти (use-after-free) в компоненте Storage. Специально созданный скрипт или веб-страница могут обратиться к объектам хранилища, которые уже были освобождены, что приводит к повреждению памяти и потенциальному выполнению кода. Данную уязвимость обнаружил исследователь Sombra 23 сентября 2025 года. На момент публикации информация о размере вознаграждения за эту находку не разглашалась.
Третья уязвимость CVE-2025-11211 средней степени тяжести связана с чтением за пределами выделенной памяти (out-of-bounds read) в компоненте WebCodecs. Якоб Кожир установил, что передача специально сформированных входных данных в API декодирования медиапотоков позволяет злоумышленнику читать содержимое памяти за пределами разрешенной области. Хотя эта уязвимость не приводит к непосредственному выполнению кода, она может быть использована для получения конфиденциальной информации или создания условий для последующей эксплуатации других уязвимостей. Исследователь сообщил о проблеме 29 августа 2025 года и получил вознаграждение в 3000 долларов.
Особую опасность перечисленных уязвимостей усиливает тот факт, что для их эксплуатации не требуются дополнительные привилегии. Пользователь может стать жертвой атаки просто посетив compromised веб-сайт или взаимодействуя с malicious рекламой в рамках так называемых drive-by download атак. Это делает данные уязвимости особенно привлекательными для киберпреступников, поскольку они позволяют незаметно установить вредоносное программное обеспечение на устройство жертвы.
Компания настоятельно рекомендует всем пользователям немедленно обновить браузер до актуальной версии. По умолчанию в Chrome включена функция автоматического обновления, но пользователи могут проверить текущую версию, перейдя в раздел "О браузере Google Chrome" в настройках. Корпоративным клиентам, управляющим развертыванием браузера через групповые политики или консоли управления, следует незамедлительно распространить обновление на все рабочие станции.
Для веб-разработчиков и администраторов сайтов специалисты Google рекомендуют продолжать следовать лучшим практикам безопасности, включая использование строгих заголовков Content Security Policy (CSP) для ограничения выполнения ненадежных скриптов и применение процедур санации ко всем пользовательским данным. Командам безопасности также стоит рассмотреть возможность внедрения инструментов обеспечения безопасности памяти на этапе выполнения, таких как AddressSanitizer и Control Flow Integrity, для более раннего обнаружения подобных проблем в процессах разработки.
В официальном заявлении Google поблагодарила партнеров по безопасности, чьи инструменты помогли в обнаружении и предотвращении уязвимостей: AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer и AFL. Эксперты подчеркивают, что продолжающееся сотрудничество между исследователями безопасности и вендорами остается важнейшим фактором защиты браузеров и веб-приложений от постоянно эволюционирующих киберугроз. Своевременное обновление программного обеспечения в сочетании с комплексным подходом к безопасности позволяют значительно снизить риски эксплуатации уязвимостей нулевого дня.
