Một lỗ hổng zero-day nghiêm trọng mới, mang mă định danh CVE-2025-4664, vừa được phát hiện trên tŕnh duyệt Google Chrome. Người dùng tŕnh duyệt này đang đứng trước nguy cơ bị đánh cắp dữ liệu nhạy cảm.
Theo các nhà nghiên cứu từ công ty an ninh mạng Wazuh, đơn vị đă phát hiện ra lỗ hổng, CVE-2025-4664 đặc biệt nguy hiểm bởi khả năng làm ṛ rỉ các thông tin quan trọng như mă xác thực OAuth hay định danh phiên (session identifier) mà không đ̣i hỏi bất kỳ tương tác nào từ phía người dùng. Điều này có nghĩa là kẻ tấn công có thể khai thác lỗ hổng mà người dùng không hề hay biết.
Điểm yếu cốt lơi được xác định nằm ở thành phần Loader của tŕnh duyệt, cụ thể là trong cách nó xử lư các tiêu đề Link HTTP đối với những yêu cầu tài nguyên phụ (ví dụ như h́nh ảnh hoặc các đoạn mă script). Khác với nhiều tŕnh duyệt khác, Chrome lại có xu hướng tuân thủ "referrer-policy" ngay cả với các tài nguyên phụ này. Chính điều đó đă tạo ra một kẽ hở, cho phép kẻ xấu chèn vào một chính sách lỏng lẻo, dẫn đến hậu quả là toàn bộ URL (có khả năng chứa dữ liệu nhạy cảm của người dùng) bị ṛ rỉ sang một tên miền của bên thứ ba do kẻ tấn công kiểm soát.
Lỗ hổng zero-day nghiêm trọng mới được phát hiện có thể đánh cắp dữ liệu nhạy cảm của người dùng Chrome
Trước mức độ nghiêm trọng của vấn đề, Google đă nhanh chóng hành động bằng việc tung ra bản vá khẩn cấp cho người dùng tŕnh duyệt Chrome trên hệ điều hành Windows và Gentoo Linux. Người dùng trên các nền tảng này được khuyến cáo cập nhật tŕnh duyệt của ḿnh lên phiên bản mới nhất ngay lập tức để tự bảo vệ.
Tuy nhiên, t́nh h́nh lại trở nên đáng lo ngại hơn đối với những người dùng tŕnh duyệt Chromium trên Debian 11. Theo thông tin hiện tại, tất cả các phiên bản cho đến 120.0.6099.224 của Chromium trên Debian 11 vẫn tồn tại lỗ hổng CVE-2025-4664 mà chưa nhận được bản vá. Do đó, lời khuyên từ các chuyên gia dành cho người dùng Debian 11 là nên tạm thời gỡ cài đặt tŕnh duyệt Chromium này cho đến khi có một phiên bản an toàn hơn được phát hành.
Với khoảng 3,5 tỷ người dùng, Chrome của Google là tŕnh duyệt web phổ biến nhất trên thế giới. Lượng người dùng khổng lồ cũng là yếu tố thu hút hacker, tội phạm mạng không ngừng t́m kiếm, khai thác lỗi bảo mật trên phần mềm này.
Người dùng cần cập nhật tŕnh duyệt Chrome ngay lập tức
Wazuh cũng cho biết, mô-đun "Wazuh Vulnerability Detection" của họ, được hỗ trợ bởi dữ liệu từ dịch vụ t́nh báo về mối đe dọa mạng (Cyber Threat Intelligence - CTI), có khả năng phát hiện và hỗ trợ giảm thiểu nguy cơ từ lỗ hổng CVE-2025-4664. Trong các thử nghiệm, công cụ này đă chứng minh được khả năng quét và xác định các phiên bản Chrome/Chromium dễ bị tổn thương trên cả Windows 11 và Debian 11.
Mặc dù các bản vá đă và đang được triển khai, giới chuyên gia nhấn mạnh rằng việc chỉ dựa vào việc cập nhật tŕnh duyệt là chưa đủ để đảm bảo an toàn tuyệt đối. Để tự bảo vệ một cách toàn diện trước các mối đe dọa zero-day tinh vi như CVE-2025-4664, người dùng cá nhân và các doanh nghiệp cần chủ động trang bị thêm các giải pháp bảo vệ điểm cuối (endpoint protection), phần mềm chống mă độc (anti-malware) và diệt virus (antivirus) uy tín. Việc xây dựng một hệ thống pḥng thủ đa lớp vững chắc là ch́a khóa để giảm thiểu rủi ro và bảo vệ dữ liệu quư giá trong môi trường mạng ngày càng phức tạp.
VietBF@ Sưu tập