Компания Google выпустила исправления для шести уязвимостей в браузере Chrome. Одна из них уже использовалась в реальных атаках для обхода песочницы браузера.
Уязвимость CVE-2025-6558 (8,8 балла по шкале CVSS), обнаруженная специалистами Google Threat Analysis Group (TAG) Клеманом Лециньем (Clément Lecigne) и Владом Столяровым, связана с недостаточной проверкой недоверенного ввода в компонентах ANGLE и GPU браузера.
«Недостаточная проверка недоверенного ввода в ANGLE и GPU в Google Chrome до версии 138.0.7204.157 потенциально позволяла удаленному злоумышленнику совершить побег песочницы через специально подготовленную HTML-страницу», — гласит описание уязвимости в NIST NVD.
Опенсорсный ANGLE (Almost Native Graphics Layer Engine) служит прослойкой между движком рендеринга Chrome и графическими драйверами конкретных устройств, то есть применяется для преобразования вызовов API OpenGL ES в Direct3D, Metal, Vulkan и OpenGL.
Поскольку ANGLE обрабатывает команды для GPU из недоверенных источников (например, с сайтов с WebGL), проблемы в этом компоненте могут серьезно влиять на безопасность. Так, уязвимости в этом модуле могут позволить атакующим выйти из песочницы браузера, используя низкоуровневые GPU-операции, которые обычно изолированы.
Фактически пользователю достаточно посетить вредоносный сайт, чтобы злоумышленники получили возможность сбежать из песочницы браузера и взаимодействовать с базовой ОС.
В Google не сообщают, как именно уязвимость применялась в атаках, и кто мог стоять за ними. В компании ограничились сообщением, что для CVE-2025-6558 существует работающий эксплоит.
Однако стоит отметить, что Google TAG специализируется на защите клиентов компании от активности «правительственных» хакеров, таргитированных атак и других продвинутых угроз. Из-за этого команда TAG нередко обнаруживает 0-day эксплоиты, используемые APT для целевых атак или заражения шпионским ПО устройств политиков, диссидентов и журналистов.
С учетом серьезности CVE-2025-6558 и того, что она уже используется в атаках, пользователям Chrome рекомендуется как можно скорее обновиться до версии 138.0.7204.157 или .158 (в зависимости от операционной системы).
Как уже было сказано выше, помимо CVE-2025-6558 в Chrome исправили еще пять уязвимостей, включая серьезную проблему в движке V8 (CVE-2025-7656), а также use-after-free баг в WebRTC (CVE-2025-7657).