Google выпустила срочное обновление безопасности для Chrome, устраняющее критическую уязвимость удаленного выполнения кода

Компания Google выпустила экстренное обновление безопасности для браузера Chrome, направленное на устранение двух серьезных уязвимостей, включая критическую ошибку удаленного выполнения кода, которая могла позволить злоумышленникам полностью скомпрометировать пользовательские системы.

Детали уязвимости

Обновление стабильного канала переводит Chrome на версию 140.0.7339.127/.128 для Windows, 140.0.7339.132/.133 для macOS и 140.0.7339.127 для Linux. Наиболее серьезной проблемой, устраненной в этом обновлении, является CVE-2025-10200 - критическая уязвимость типа use-after-free (использование после освобождения) в компоненте ServiceWorker браузера. Эта уязвимость получила высший уровень серьезности и принесла исследователю безопасности Looben Yang значительное вознаграждение в размере 43 000 долларов за ее обнаружение.

Уязвимости типа use-after-free возникают, когда программы продолжают использовать память после ее освобождения, что потенциально позволяет злоумышленникам выполнять вредоносный код удаленно. ServiceWorker - это фоновые скрипты, которые позволяют веб-приложениям работать в автономном режиме и обрабатывать сетевые запросы. Уязвимость в этом компоненте представляет значительные риски, поскольку он работает с повышенными привилегиями и может влиять на взаимодействие веб-страниц с основными функциями браузера.

Ошибка была сообщена 22 августа 2025 года, что демонстрирует приверженность Google оперативному раскрытию информации и исправлению уязвимостей. Вторая уязвимость, CVE-2025-10201, затрагивает систему межпроцессного взаимодействия Mojo в Chrome и получила высокий уровень серьезности. Исследователи безопасности Sahan Fernando и анонимный сотрудник обнаружили эту ошибку неправильной реализации, получив совместное вознаграждение в 30 000 долларов.

Mojo обеспечивает безопасную связь между различными процессами Chrome, что делает уязвимости в этой системе особенно тревожными для архитектуры безопасности браузера. Уязвимости неправильной реализации обычно связаны с некорректной обработкой границ безопасности или неправильной проверкой данных, передаваемых между компонентами системы. Хотя эти проблемы не являются настолько легко эксплуатируемыми, как use-after-free, они все же могут привести к повышению привилегий или обходу механизмов безопасности.

Команда безопасности Chrome подчеркивает, что обновление будет распространяться постепенно в течение следующих дней и недель для обеспечения стабильности среди огромной пользовательской базы. Компания сохраняет свою политику ограничения доступа к подробной информации об уязвимостях до тех пор, пока большинство пользователей не получат обновления безопасности, что предотвращает потенциальную эксплуатацию в период обновления.

Google продолжает использовать передовые инструменты обнаружения, включая AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer и AFL, для выявления проблем безопасности во время разработки. Этот проактивный подход помогает предотвратить попадание уязвимостей в стабильные выпуски. Пользователям следует немедленно обновить свои браузеры Chrome через опцию «О браузере Google Chrome» в меню «Справка», чтобы обеспечить защиту от этих критических уязвимостей безопасности.

Детали уязвимости

Ссылки