Google Chrome’un V8 JavaScript motoru, 2025’te keşfedilen altıncı aktif olarak sömürülen krom sıfır gününü işaretleyen CVE-2025-10585 olarak adlandırılan kritik bir karışıklık Sıfır Gün güvenlik açığı tarafından tehlikeye atıldı.
Tahmini CVSS 3.1 puanı 8.8 ile bu yüksek şiddetli kusur, Chrome’un kum havuzu korumalarını atlayan sofistike bellek bozulması teknikleri aracılığıyla uzaktan kod yürütülmesini sağlar.
Güvenlik açığı, Turbofan’ın tam zamanında derleyicinin optimizasyon varsayımlarını manipüle eden bir tip karışıklık saldırısı ile Chrome’un V8 JavaScript motorunu kullanıyor.
Güvenlik araştırmacıları, kripto para cüzdanlarını hedefleyen ve casusluk işlemlerini yürüten aktif sömürü kampanyalarını doğruladılar, tehdit aktörleri keyfi kabuk kodu yürütmek ve Chrome’un oluşturucu süreci kum havuzundan kaçmak için kusurdan yararlandı.
V8 Tip Karışık Mekanizması
V8’deki tip karışıklık güvenlik açıkları, modern tarayıcılara karşı en sofistike saldırı vektörlerinden birini temsil eder.
CVE-2025-10585 Kusur, JavaScript nesne özelliği erişimi sırasında satır içi önbellek (IC) mekanizmasını bozarak Chrome’un performans optimizasyon sistemlerinden yararlanır.
NullSecurityx, kötü niyetli JavaScript kodu V8’in tür çıkarım sistemini aldatan özel olarak hazırlanmış proxy nesneler oluşturduğunda güvenlik açığının ortaya çıktığını belirtti.
Turbofan derlemesi sırasında motor, çalışma zamanı geri bildirimlerine dayalı nesne türleri hakkında eleştirel varsayımlar yapar.
Saldırganlar, beklenmedik veri türlerini döndüren özel getter işlevleri uygulayarak bu varsayımları altüst ederek derleyicinin yanlış bellek erişim modelleri oluşturmasına neden olabilir.
Teknik sömürü zinciri, V8 ilkel bir sayı beklediğinde bir diziyi döndüren bir Sembol.
Tonumber () dönüşüm işlemi tekrar tekrar çağrıldığında (tipik olarak aritmetik işlemler yoluyla), V8’in Maglev ve Turbofan derleyicileri kod yolunu yanlış tür varsayımlarına göre optimize eder.
Bu kod, saldırganların hafıza yolsuzluğunu elde etmek için V8’in tip sistemini nasıl değiştirebileceğini göstermektedir.
Güvenlik açığı, getiriye yönelik programlama (ROP) zincir yapısı dahil olmak üzere gelişmiş sömürü teknikleri için temel yapı taşları olan “addrof” ve “fakeobj” ilkellerinin inşasına izin verir.
| Risk faktörleri | Detaylar |
| Etkilenen ürünler | Google Chrome <140.0.7339.185 (Windows/Linux/macOS) Krom tabanlı tarayıcılar (kenar, cesur, opera vb.) |
| Darbe | Uzak Kod Yürütme |
| Önkoşuldan istismar | Kullanıcı kötü amaçlı bir web sayfasını ziyaret eder Javascript etkin, jit optimizasyonları etkin |
| CVSS 3.1 puanı | 8.8 (Yüksek) |
Sömürü etkisi
Saldırı zinciri genellikle sosyal mühendislik teknikleriyle başlar ve kurbanları sömürü kodunu içeren kötü amaçlı web sitelerine yönlendirir.
Tehdit istihbarat raporları, sofistike aktörlerin kalıcı kötü amaçlı yazılım kurmak, kripto para özel anahtarlarını çalmak ve hedefli gözetim operasyonları yürütmek için bu güvenlik açığını ayrıcalık artış istismarlarıyla zincirlediğini göstermektedir.
Güvenlik açığının ağ tabanlı saldırı vektörü, yalnızca kullanıcıların uzlaşmış bir web sitesini ziyaret etmesini gerektirir ve bu da onu yaygın bir şekilde kullanma için özellikle tehlikeli hale getirir.
Google’ın Tehdit Analiz Grubu, bazı sömürü faaliyetlerini ticari casus yazılım satıcılarına ve ulus-devlet aktörlerine bağlayarak güvenlik açığının istihbarat operasyonları için stratejik değerini vurguladı.
Kusur, saldırganların geleneksel olarak sağlam savunma mekanizmaları olarak kabul edilen Chrome’un çok işsiz mimarisini ve site izolasyon özelliklerini atlamasını sağlar.
Kripto para birimi güvenlik firmaları, özellikle Chrome kullanıcılarını hedefleyen cüzdan drenaj saldırıları bildirdiler ve çalınan fonlar bilinen siber suçlu kuruluşlarla ilişkili adreslere kadar izlendi.
Bu saldırılar, geleneksel casusluk uygulamalarının ötesinde kırılganlığın pratik finansal etkisini göstermektedir.
Güvenlik açığı, Windows, MacOS ve Linux platformlarında 140.0.7399.185’ten önce tüm Chrome sürümlerinin yanı sıra Microsoft Edge, Brave ve Opera dahil krom tabanlı tarayıcılardan önce tüm Chrome sürümlerini etkiler.
Google, dünya çapında çoğu Chrome kurulumuna zaten konuşlandırılmış otomatik güncellemeler ile kusuru ele alan acil durum yamaları yayınladı.
Kuruluşlar, tip karışıklık sömürü teknikleriyle ilişkili şüpheli kalıplar için ağ trafiğini izlemeli ve uygulanabilir olan yerlerde uygulama beyaz listeleme uygulamalıdır.
Günlük siber güvenlik güncellemeleri için bizi Google News, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
