CISA, Google Chromium’da tehdit aktörlerinin aktif olarak sömürdüğü kritik bir güvenlik açığı hakkında acil bir uyarı yayınladı.
CVE-2025-6558 olarak adlandırılan güvenlik açığı, krom motorunu kullanan birden fazla web tarayıcısında milyonlarca kullanıcı için önemli bir güvenlik riski oluşturmaktadır.
Key Takeaways
1. Chromium vulnerability enables sandbox escape via malicious HTML
2. Affects all Chromium browsers (Chrome, Edge, Opera).
3. CISA requires patches by August 12, 2025, due to active exploitation.
Yanlış giriş doğrulaması (CVE-2025-6558)
Yeni tanımlanan güvenlik açığı, Chromium’un açısı (neredeyse yerel grafik katman motoru) ve GPU bileşenleri içindeki yanlış giriş validasyonundan kaynaklanmaktadır.
Ortak zayıflık numaralandırması CWE-20 kapsamında sınıflandırılan bu teknik kusur, uzak saldırganların potansiyel olarak sofistike sanal alan kaçış saldırıları yürütmesi için bir yol oluşturur.
Güvenlik açığının şiddeti, kötü niyetli aktörlerin dikkatle hazırlanmış HTML sayfaları aracılığıyla tarayıcının güvenlik sanal alanından kurtulmasına izin verme yeteneğinde yatmaktadır ve kullanıcıları web tabanlı tehditlerden korumak için tasarlanmış en temel güvenlik mekanizmalarından birini etkili bir şekilde atlamaktadır.
Güvenlik araştırmacıları, tarayıcı, grafikle ilgili spesifik işlemleri, özellikle GPU hızlanmasını ve OpenGL ES uygulamasını içeren belirli işlemleri işlediğinde meydana geldiğini tespit etmişlerdir.
Bu, kötü niyetli web sitelerinin tarayıcının sınırlı yürütme ortamının ötesinde yetkisiz erişim elde etmek için doğrulama zayıflığından yararlanabileceği bir saldırı vektörü oluşturur.
Güvenlik açığının etkisi, krom bazlı tarayıcıların tüm ekosistemini etkileyen Google Chrome’un çok ötesine uzanır.
Microsoft Edge ve Opera dahil olmak üzere ana tarayıcılar, aynı alttaki krom krom kod tabanına olan güvenleri göz önüne alındığında, sömürüye karşı hassastır.
Bu yaygın maruziyet potansiyel olarak yüz milyonlarca kullanıcıyı farklı platformlarda ve işletim sistemlerinde riske atar.
Saldırı metodolojisi, giriş doğrulama kusurunu tetiklemek için tasarlanmış özel hazırlanmış HTML sayfaları içeren kötü amaçlı web sitelerini barındıran tehdit aktörlerini içerir.
Başarılı olduktan sonra, saldırganlar potansiyel olarak kötü amaçlı yazılım yüklemek, hassas veriler çalmak veya tehlikeye atılan sistemlere kalıcı erişim sağlamak için sanal alan kaçışından yararlanabilir.
| Risk faktörleri | Detaylar |
| Etkilenen ürünler | – Google Chrome- Microsoft Edge- Tüm krom tabanlı tarayıcılar |
| Darbe | – Sandbox Escape- Uzak Kod Yürütme Potansiyeli- Bypass Tarayıcı Güvenlik Kontrolleri |
| Önkoşuldan istismar | – Hazırlanmış HTML Sayfa- Kullanıcı kötü amaçlı web sitesini ziyaret ediyor- açılı/GPU işleme tetiklendi |
| CVSS 3.1 puanı | 8.8 (Yüksek) |
Hafifletme
CISA, kırılganlığın 22 Temmuz 2025’te bilinen sömürülen güvenlik açıkları kataloğuna eklenmesinin ardından 12 Ağustos 2025’te kesin bir iyileştirme son tarihi oluşturdu.
Kuruluşlar, yamalar mevcut değilse, satıcı tarafından sağlanan hafifletmeler hemen uygulamalı veya etkilenen ürünlerin kullanımını durdurmalıdır.
Ajans, özellikle bu güvenlik sorununun kritik doğasını vurgulayarak Bulut Hizmetleri için Bağlayıcı Operasyonel Direktif (BOD) 22-01 rehberliğine atıfta bulunur.
Google, Chrome Basımları blogu aracılığıyla ayrıntılı bilgilerle istikrarlı kanal güncellemeleri aracılığıyla yamaları yayınlamaya başladı.
Kullanıcılar ve yöneticiler, bu kritik güvenlik açığını hedefleyen devam eden sömürü girişimlerine karşı korumak için en son tarayıcı sürümlerinde acil güncellemelere öncelik vermelidir.
Tespiti artırın, uyarı yorgunluğunu azaltın, yanıtı hızlandırın; Güvenlik ekipleri için inşa edilmiş etkileşimli bir sanal alan ile hepsi -> Herhangi birini deneyin. Şimdi