緊急安全更新發(fā)布

谷歌已為其Chrome瀏覽器發(fā)布緊急安全更新，修復(fù)了三個(gè)可能導(dǎo)致攻擊者在用戶系統(tǒng)上執(zhí)行任意代碼的關(guān)鍵漏洞。Windows和Mac平臺(tái)的穩(wěn)定版更新版本號(hào)為138.0.7204.168/.169，Linux平臺(tái)為138.0.7204.168，該更新將在未來(lái)數(shù)日乃至數(shù)周內(nèi)向全球用戶逐步推送。

高危類型混淆漏洞

最值得關(guān)注的是Chrome V8 JavaScript引擎中的兩個(gè)高危類型混淆漏洞，均由安全研究員Shaheen Fazim于2025年7月9日發(fā)現(xiàn)并報(bào)告。這兩個(gè)漏洞編號(hào)為CVE-2025-8010和CVE-2025-8011，對(duì)瀏覽器安全構(gòu)成重大威脅。

其中CVE-2025-8010已獲得8000美元的高額漏洞賞金，表明其嚴(yán)重性和潛在影響。第二個(gè)漏洞CVE-2025-8011的賞金金額仍在評(píng)估中，但對(duì)用戶安全同樣構(gòu)成嚴(yán)重威脅。

類型混淆攻擊原理

類型混淆漏洞發(fā)生在軟件使用錯(cuò)誤的數(shù)據(jù)類型訪問(wèn)資源時(shí)，會(huì)導(dǎo)致意外行為并可能引發(fā)安全漏洞。在Chrome V8 JavaScript引擎中，這類漏洞尤其危險(xiǎn)，攻擊者可通過(guò)精心設(shè)計(jì)的網(wǎng)頁(yè)操縱內(nèi)存分配，最終實(shí)現(xiàn)任意代碼執(zhí)行。

網(wǎng)絡(luò)安全研究人員指出："類型混淆通常與釋放后使用（use-after-free）漏洞結(jié)合，是現(xiàn)代C++軟件（如瀏覽器）被攻陷的主要攻擊途徑。"成功利用這些漏洞可能導(dǎo)致堆損壞、內(nèi)存損壞，最終實(shí)現(xiàn)任意代碼執(zhí)行。

瀏覽器安全形勢(shì)嚴(yán)峻

此次更新正值基于瀏覽器的安全威脅日益增長(zhǎng)的嚴(yán)峻時(shí)期。安全專家報(bào)告顯示，2024年漏洞數(shù)量較2023年增長(zhǎng)61%，預(yù)計(jì)2025年漏洞總數(shù)將接近5萬(wàn)個(gè)。

Chrome V8引擎已成為網(wǎng)絡(luò)犯罪分子的重點(diǎn)攻擊目標(biāo)，谷歌為此提高了漏洞賞金金額，對(duì)高質(zhì)量的V8漏洞報(bào)告最高獎(jiǎng)勵(lì)2萬(wàn)美元。V8 JavaScript引擎不僅驅(qū)動(dòng)Chrome，還支持Microsoft Edge和Brave等基于Chromium的瀏覽器，每天處理數(shù)十億次網(wǎng)絡(luò)交互，使得這些漏洞尤為關(guān)鍵。

一旦被利用，這些漏洞可能使攻擊者繞過(guò)Chrome的安全沙箱，獲取底層操作系統(tǒng)訪問(wèn)權(quán)限。安全研究人員強(qiáng)調(diào)用戶應(yīng)立即更新瀏覽器，現(xiàn)代類型混淆攻擊僅需訪問(wèn)惡意網(wǎng)站即可觸發(fā)，無(wú)需用戶額外交互。

漏洞發(fā)現(xiàn)與防御

攻擊通常始于攻擊者制作包含特殊設(shè)計(jì)JavaScript代碼的惡意HTML頁(yè)面，利用這些V8引擎漏洞。谷歌安全團(tuán)隊(duì)還感謝了包括AddressSanitizer、MemorySanitizer和模糊測(cè)試技術(shù)在內(nèi)的多項(xiàng)內(nèi)部安全計(jì)劃，這些技術(shù)有助于在漏洞進(jìn)入生產(chǎn)環(huán)境前發(fā)現(xiàn)它們。

然而，這些高危漏洞由外部研究人員發(fā)現(xiàn)的事實(shí)表明，保護(hù)復(fù)雜瀏覽器引擎仍面臨持續(xù)挑戰(zhàn)。Chrome用戶應(yīng)通過(guò)"設(shè)置>關(guān)于Chrome"路徑檢查瀏覽器版本，并允許安裝所有待處理的自動(dòng)更新。

鑒于這些漏洞的嚴(yán)重性及其在"路過(guò)式"（drive-by）攻擊中的潛在利用可能，強(qiáng)烈建議立即安裝補(bǔ)丁。