Κυκλοφόρησε PoC Exploit για Chrome zero-day ευπάθεια

Νέο Chrome zero-day: Η Google αποκάλυψε μια κρίσιμη ευπάθεια zero-day στο V8 JavaScript engine που χρησιμοποιείται από τον Chrome browser. Το ανησυχητικό είναι ότι, πριν προλάβει να κυκλοφορήσει μια ενημέρωση για όλους τους χρήστες, δημοσιεύτηκε proof-of-concept (PoC) exploit για την ευπάθεια και παρατηρήθηκε ενεργή εκμετάλλευση σε στοχευμένες καμπάνιες.

Οι ομάδες ασφαλείας και οι διαχειριστές καλούνται να αναβαθμίσουν άμεσα στην έκδοση Chrome 137.0.7151.68 ή νεότερη για να προστατευτούν από πιθανές επιθέσεις.

Chrome zero-day CVE-2025-5419

Η CVE-2025-5419 είναι μια ευπάθεια out-of-bounds (read and write) στα array handling routines του V8. Ένας επιτιθέμενος μπορεί να δημιουργήσει μια κακόβουλη σελίδα HTML, που ενσωματώνει ειδικά δομημένα JavaScript arrays, τα οποία με τη σειρά τους προκαλούν heap corruption όταν γίνεται parsing από τo engine. Το heap corruption επιτρέπει αυθαίρετες λειτουργίες read και write εντός της διαδικασίας renderer, ανοίγοντας το δρόμο για απομακρυσμένη εκτέλεση κώδικα υπό το πλαίσιο του συνδεδεμένου χρήστη.

Δείτε επίσης: CISA: Νέες Ευπάθειες στον Κατάλογο KEV για Citrix και Git

Οι αλυσίδες εκμετάλλευσης συνήθως ξεκινούν με το OOB primitive για διαρροή διευθύνσεων κρίσιμων V8 objects και στη συνέχεια κλιμακώνονται σε arbitrary write για αντικατάσταση function pointers.

Μετά την εκμετάλλευση, ο επιτιθέμενος μπορεί να εγκαταστήσει ένα second-stage payload ή να παραδώσει ransomware, keyloggers ή άλλο κακόβουλο λογισμικό.

PoC Exploit για το Chrome zero-day bug

Ένα PoC script έχει δημοσιευτεί από τον ερευνητή ασφαλείας mistymntncop στο GitHub. Το βασικό απόσπασμα, που δείχνει το OOB write, καταστρέφει το backing store ενός arr, επιτρέποντας ελεγχόμενες αντικαταστάσεις του adjacent memory. Το PoC στη συνέχεια αξιοποιεί αυτά τα primitives για να παραβιάσει το V8 function dispatch table, επιτυγχάνοντας εκτέλεση κώδικα στο renderer.

Έχει αναφερθεί ενεργή εκμετάλλευση, με στοχευμένες καμπάνιες spear-phishing που παρασύρουν θύματα σε παραβιασμένα sites. Οι οργανισμοί θα πρέπει να διασφαλίσουν ότι όλα τα endpoints τρέχουν την έκδοση 137.0.7151.68 ή νεότερη, να μπλοκάρουν γνωστά exploit domains και να παρακολουθούν ασυνήθιστη συμπεριφορά του V8 process. Θα πρέπει επίσης να αναζητούν JavaScript exceptions.

Δείτε επίσης: vtenext CRM: Πολλαπλές ευπάθειες επιτρέπουν RCE επιθέσεις

Η επίσημη ενημέρωση της Google αντιμετωπίζει τη ρίζα του προβλήματος διορθώνοντας το bounds check logic στο array implementation του V8. Με τη γρήγορη δημοσίευση του κώδικα PoC και τις επιβεβαιωμένες επιθέσεις, οι υπερασπιστές πρέπει να δράσουν γρήγορα για να εξαλείψουν αυτήν την απειλή.

Ευπάθειες στον Chrome browser

Η εμφάνιση ενός νέου Chrome zero-day στο V8 engine υπενθυμίζει τη συνεχή μάχη μεταξύ επιτιθέμενων και προμηθευτών λογισμικού για τον έλεγχο του browser attack surface. Τα zero-days που πλήττουν JavaScript engines θεωρούνται από τα πιο επικίνδυνα, διότι εκμεταλλεύονται το γεγονός ότι οι browsers αποτελούν την «πύλη» προς το διαδίκτυο και χρησιμοποιούνται από δισεκατομμύρια χρήστες σε πραγματικό χρόνο. Η δημοσίευση PoC πριν την καθολική διάθεση ενημερώσεων αυξάνει δραματικά τον κίνδυνο, καθώς μειώνει το χρονικό περιθώριο αντίδρασης και διευκολύνει την ταχεία υιοθέτηση του exploit από ευρύτερο φάσμα απειλητικών ομάδων.

Η εμπειρία δείχνει ότι τέτοιες ευπάθειες συχνά εντάσσονται σε σύνθετα exploit chains, όπου η αρχική παραβίαση στο V8 αξιοποιείται σε συνδυασμό με sandbox escapes ή privilege escalations για πλήρη έλεγχο του συστήματος. Αυτό σημαίνει ότι η απειλή δεν περιορίζεται μόνο στο πλαίσιο του browser, αλλά μπορεί να επεκταθεί σε κρίσιμες επιχειρησιακές εφαρμογές και υποδομές. Για οργανισμούς που βασίζονται σε web-based εργαλεία, ο κίνδυνος lateral movement μέσω browsers είναι ιδιαίτερα υψηλός.

Δείτε επίσης: Tableau Server: Κρίσιμη ευπάθεια επιτρέπει παραβίαση συστήματος

Η δημοσιοποίηση ενεργών καμπανιών spear-phishing καταδεικνύει πως οι επιτιθέμενοι δεν περιορίζονται στη θεωρητική αξιοποίηση της ευπάθειας, αλλά έχουν ήδη προσαρμόσει τη στρατηγική τους για να στοχεύσουν συγκεκριμένα προφίλ χρηστών. Αυτό ενισχύει την ανάγκη όχι μόνο για άμεση ενημέρωση, αλλά και για εφαρμογή πρόσθετων μέτρων όπως network filtering γνωστών exploit domains, εκπαίδευση χρηστών απέναντι σε phishing τεχνικές και ενεργή παρακολούθηση για ανωμαλίες στη συμπεριφορά JavaScript engines.

Σε τελικό επίπεδο, το περιστατικό αναδεικνύει τη σημασία της προληπτικής ασφάλειας: συνεχή αξιολόγηση κώδικα, συνεργασία με ερευνητές και επιτάχυνση των κύκλων διάθεσης patches. Τα zero-days είναι αναπόφευκτα· η διαφορά προκύπτει από το πόσο γρήγορα και αποτελεσματικά μπορούν οι αμυνόμενοι να ανταποκριθούν.