Lỗ hổng bảo mật CVE-2025-4664 trong Chrome cho phép rò rỉ dữ liệu giữa các nguồn – người dùng cần cập nhật ngay

Lỗ hổng bảo mật CVE-2025-4664 trong Chrome cho phép rò rỉ dữ liệu giữa các nguồn – người dùng cần cập nhật ngay

Google phát hành bản vá khẩn cấp cho lỗ hổng bảo mật nghiêm trọng CVE-2025-4664 trong Chrome – nguy cơ rò rỉ dữ liệu nhạy cảm giữa các nguồn

Google đã phát hành bản cập nhật bảo mật để khắc phục lỗ hổng nghiêm trọng CVE-2025-4664 (điểm CVSS: 4.3) trong trình duyệt Chrome. Lỗ hổng này xuất phát từ việc thực thi chính sách không đầy đủ trong thành phần Loader, cho phép kẻ tấn công từ xa rò rỉ dữ liệu giữa các nguồn thông qua một trang HTML được tạo đặc biệt.

Nhà nghiên cứu bảo mật Vsevolod Kokorin (@slonser_) đã phát hiện và báo cáo lỗ hổng này vào ngày 5 tháng 5 năm 2025. Google xác nhận rằng đã có mã khai thác lỗ hổng này được sử dụng trong thực tế.

Kokorin giải thích rằng, không giống như các trình duyệt khác, Chrome xử lý tiêu đề Link trên các yêu cầu tài nguyên phụ, và tiêu đề này có thể thiết lập referrer-policy. Bằng cách chỉ định giá trị "unsafe-url", kẻ tấn công có thể thu thập toàn bộ tham số truy vấn, bao gồm cả dữ liệu nhạy cảm như mã xác thực hoặc thông tin tài khoản, thông qua một hình ảnh từ nguồn bên thứ ba.

Để bảo vệ người dùng khỏi các mối đe dọa tiềm ẩn, Google khuyến nghị cập nhật Chrome lên phiên bản 136.0.7103.113 hoặc cao hơn cho Windows, Mac và Linux. Người dùng các trình duyệt dựa trên Chromium như Microsoft Edge, Brave, Opera và Vivaldi cũng nên áp dụng các bản vá khi có sẵn.

Giải pháp:

• Cập nhật trình duyệt ngay: Người dùng nên cập nhật Chrome lên phiên bản 136.0.7103.113 hoặc mới hơn để đảm bảo an toàn bảo mật.

• Kiểm tra và cập nhật các trình duyệt khác: Người dùng các trình duyệt dựa trên Chromium như Microsoft Edge, Brave, Opera và Vivaldi cần kiểm tra và cập nhật khi có bản vá tương ứng.

• Thận trọng với các liên kết và tệp đính kèm: Tránh nhấp vào các liên kết hoặc tệp đính kèm không rõ nguồn gốc để giảm thiểu rủi ro bảo mật.

• Theo dõi thông tin bảo mật: Cập nhật thường xuyên các thông tin từ Google và các cơ quan an ninh mạng để đảm bảo hệ thống luôn được bảo vệ.

Hương