Tin khẩn cấp: Google vừa phát hành bản cập nhật quan trọng cho trình duyệt Chrome để vá lỗ hổng CVE-2025-6558 đang bị khai thác.
Vào thứ Ba vừa qua, Google đã tung ra các bản sửa lỗi cho sáu vấn đề bảo mật trong trình duyệt web Chrome của mình, bao gồm một lỗi mà họ cho biết đang bị khai thác trong thực tế.
Lỗ hổng nghiêm trọng này là CVE-2025-6558 (điểm CVSS: 8.8), được mô tả là xác thực không chính xác đầu vào không đáng tin cậy trong các thành phần ANGLE và GPU của trình duyệt.
Theo mô tả về lỗ hổng từ Cơ sở dữ liệu lỗ hổng quốc gia (NVD) của NIST, “Việc xác thực không đầy đủ đầu vào không đáng tin cậy trong ANGLE và GPU của Google Chrome trước phiên bản 138.0.7204.157 cho phép kẻ tấn công từ xa có khả năng thực hiện thoát sandbox thông qua một trang HTML được tạo thủ công”.
ANGLE, viết tắt của “Almost Native Graphics Layer Engine” (Công cụ lớp đồ họa gần như gốc), đóng vai trò là lớp trung gian giữa công cụ hiển thị của Chrome và trình điều khiển đồ họa cụ thể của thiết bị. Các lỗ hổng trong mô-đun này có thể cho phép kẻ tấn công thoát khỏi sandbox của Chrome bằng cách lạm dụng các hoạt động GPU cấp thấp mà trình duyệt thường giữ biệt lập, biến đây thành một con đường hiếm hoi nhưng mạnh mẽ để truy cập sâu hơn vào hệ thống.
Đối với hầu hết người dùng, việc thoát sandbox như thế này có nghĩa là chỉ cần truy cập một trang web độc hại là đủ để phá vỡ lớp bảo vệ của trình duyệt và tương tác với hệ thống bên dưới. Điều này đặc biệt quan trọng trong các cuộc tấn công có chủ đích, nơi chỉ cần mở một trang web có thể kích hoạt xâm nhập âm thầm mà không yêu cầu bất kỳ tải xuống hoặc nhấp chuột nào.
Clément Lecigne và Vlad Stolyarov của Nhóm Phân tích mối đe dọa (TAG) của Google đã được ghi nhận vì đã khám phá và báo cáo lỗ hổng zero-day vào ngày 23 tháng 6 năm 2025.
Bản chất chính xác của các cuộc tấn công khai thác lỗ hổng này vẫn chưa được tiết lộ, nhưng Google đã thừa nhận rằng “exploit cho CVE-2025-6558 tồn tại trong thực tế”. Phát hiện này của TAG gợi ý về khả năng có sự tham gia của các quốc gia.
Thông tin này xuất hiện khoảng hai tuần sau khi Google giải quyết một lỗ hổng zero-day khác đang bị khai thác tích cực trên Chrome (CVE-2025-6554, điểm CVSS: 8.1), cũng được báo cáo bởi Lecigne vào ngày 25 tháng 6 năm 2025.
Google đã giải quyết tổng cộng năm lỗ hổng zero-day trong Chrome, những lỗ hổng này đã bị khai thác tích cực hoặc được chứng minh là bằng chứng về khái niệm (PoC) kể từ đầu năm. Điều này bao gồm: CVE-2025-2783, CVE-2025-4664, CVE-2025-5419 và CVE-2025-6554.
Để bảo vệ chống lại các mối đe dọa tiềm ẩn, bạn nên cập nhật trình duyệt Chrome của mình lên phiên bản 138.0.7204.157/.158 cho Windows và Apple macOS và 138.0.7204.157 cho Linux. Để đảm bảo các bản cập nhật mới nhất được cài đặt, người dùng có thể điều hướng đến Thêm > Trợ giúp > Giới thiệu về Google Chrome và chọn Khởi chạy lại.
Người dùng các trình duyệt dựa trên Chromium khác như Microsoft Edge, Brave, Opera và Vivaldi cũng nên áp dụng các bản sửa lỗi khi chúng có sẵn.
Các vấn đề như thế này thường thuộc các danh mục rộng hơn như thoát sandbox GPU, lỗi liên quan đến shader hoặc lỗ hổng WebGL. Mặc dù không phải lúc nào cũng gây chú ý, nhưng chúng có xu hướng xuất hiện trở lại trong các exploit chuỗi hoặc các cuộc tấn công có chủ đích. Nếu bạn theo dõi các bản cập nhật bảo mật của Chrome, bạn nên để mắt đến các lỗ hổng trình điều khiển đồ họa, bỏ qua ranh giới đặc quyền và hỏng bộ nhớ trong đường dẫn hiển thị, vì chúng thường chỉ ra vòng vá lỗi tiếp theo.
Giải thích thuật ngữ:
- CVE (Common Vulnerabilities and Exposures): Là một danh sách chứa các định danh tiêu chuẩn cho các lỗ hổng bảo mật đã được công khai.
- CVSS (Common Vulnerability Scoring System): Là một tiêu chuẩn mở để đánh giá mức độ nghiêm trọng của các lỗ hổng bảo mật.
- Zero-day vulnerability: Lỗ hổng bảo mật chưa được biết đến bởi nhà cung cấp phần mềm hoặc công chúng, và do đó chưa có bản vá để sửa chữa.
- Sandbox: Một môi trường bị cô lập được sử dụng để chạy các ứng dụng hoặc mã không đáng tin cậy một cách an toàn, ngăn chúng gây hại cho hệ thống chính.
- Exploit: Một đoạn mã hoặc kỹ thuật được sử dụng để khai thác một lỗ hổng bảo mật trong hệ thống hoặc phần mềm.
- GPU (Graphics Processing Unit): Bộ xử lý đồ họa, một thành phần chuyên dụng trong máy tính để xử lý và hiển thị hình ảnh.
- Nation-state: Chỉ một nhóm hacker được tài trợ bởi chính phủ một quốc gia.
