Google Chrome 多个漏洞可能导致任意代码执行
MS-ISAC 咨询编号： 2025-109 发布日期： 2025年11月24日
概述
谷歌 Chrome 浏览器中发现了多个漏洞，其中最严重的漏洞可能允许执行任意代码。成功利用最严重的漏洞可能会允许在已登录用户的上下文环境中执行任意代码。根据与用户关联的权限，攻击者随后可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。在系统上配置了较少用户权限的帐户的用户可能比使用管理用户权限进行操作的用户受到的影响更小。
威胁情报
谷歌已知悉 CVE-2025-13223 的利用程序在野存在。
受影响系统
- 适用于 Windows 和 MAC 的 Chrome 版本低于 142.0.7444.175/.176
- 适用于 Linux 的 Chrome 版本低于 142.0.7444.175
风险级别
- 政府部门：
- 大型及中型政府实体：高
- 小型政府实体：中
- 企业：
- 大型及中型商业实体：高
- 小型商业实体：中
- 家庭用户： 低
技术摘要
谷歌 Chrome 浏览器中发现了多个漏洞，其中最严重的漏洞可能允许执行任意代码。这些漏洞的详细信息如下：
战术： 初始访问 (TA0001) 技术： 路过式下载 (T1189) 漏洞：
- V8 引擎类型混淆 (CVE-2025-13223, CVE-2025-13224)
成功利用最严重的漏洞可能会允许在已登录用户的上下文环境中执行任意代码。根据与用户关联的权限，攻击者随后可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。在系统上配置了较少用户权限的帐户的用户可能比使用管理用户权限进行操作的用户受到的影响更小。
建议措施
我们建议采取以下行动：
-
应用更新： 在经过适当测试后，立即为受影响的系统应用谷歌提供的相应更新。(M1051：更新软件)
- 安全保障 7.1：建立并维护漏洞管理流程：为企业资产建立并维护有记录的漏洞管理流程。每年或在发生可能影响此安全保障的重大企业变更时审查并更新文档。
- 安全保障 7.4：执行自动化应用程序补丁管理：每月或更频繁地通过自动化补丁管理在企业资产上执行应用程序更新。
- 安全保障 7.7：修复已检测到的漏洞：每月或更频繁地根据修复流程，通过流程和工具修复软件中检测到的漏洞。
- 安全保障 9.1：确保仅使用完全支持的浏览器和电子邮件客户端：确保企业中仅允许执行完全支持的浏览器和电子邮件客户端，仅使用供应商提供的最新版本。
-
应用最小权限原则： 对所有系统和服务应用最小权限原则。以非特权用户（没有管理权限的用户）身份运行所有软件，以减轻成功攻击的影响。(M1026：特权帐户管理)
- 安全保障 4.7：管理企业资产和软件上的默认帐户：管理企业资产和软件上的默认帐户，例如 root、administrator 和其他预配置的供应商帐户。示例实现包括：禁用默认帐户或使其无法使用。
- 安全保障 5.4：将管理员权限限制在专用的管理员帐户：将管理员权限限制在企业资产的专用管理员帐户上。从用户的主要非特权帐户执行一般计算活动，例如互联网浏览、电子邮件和办公套件使用。
-
限制代码执行环境： 将代码执行限制在端点系统上或传输至端点系统的虚拟环境中。(M1048：应用程序隔离与沙箱)
-
启用攻击利用防护： 使用能够检测和阻止可能导致或表明软件漏洞利用发生的条件的能力。(M1050：攻击利用防护)
- 安全保障 10.5：启用反攻击利用功能：尽可能在企业资产和软件上启用反攻击利用功能，例如 Microsoft® 数据执行保护 (DEP)、Windows® Defender Exploit Guard (WDEG) 或 Apple® 系统完整性保护 (SIP) 和 Gatekeeper™。
-
限制基于网络的内容： 限制某些网站的使用，阻止下载/附件，阻止 JavaScript，限制浏览器扩展等。(M1021：限制基于网络的内容)
- 安全保障 9.2：使用 DNS 过滤服务：在所有企业资产上使用 DNS 过滤服务，以阻止访问已知的恶意域名。
- 安全保障 9.3：维护并执行基于网络的 URL 过滤器：强制执行和更新基于网络的 URL 过滤器，以限制企业资产连接到可能恶意或未批准的网站。示例实现包括基于类别的过滤、基于声誉的过滤或使用阻止列表。对所有企业资产强制执行过滤器。
- 安全保障 9.6：阻止不必要的文件类型：阻止不必要的文件类型尝试进入企业的电子邮件网关。
-
用户培训： 告知并教育用户有关电子邮件或附件中包含的超链接（尤其是来自不可信来源）所带来的威胁。提醒用户不要访问不可信的网站或点击来自未知或不可信来源提供的链接。(M1017：用户培训)
- 安全保障 14.1：建立并维护安全意识计划：建立并维护安全意识计划。安全意识计划的目的是教育企业的员工如何以安全的方式与企业资产和数据交互。在雇佣时进行培训，并至少每年进行一次。每年或在发生可能影响此安全保障的重大企业变更时审查并更新内容。
- 安全保障 14.2：培训员工识别社会工程学攻击：培训员工识别社会工程学攻击，例如网络钓鱼、假托和尾随。