Lỗ hổng zero-day trong Chromium đe dọa hàng loạt trình duyệt dùng hàng ngày

[WhiteHat Team]

Google mới đây đã phát đi cảnh báo bảo mật mức độ cao liên quan đến một lỗ hổng trong nhân trình duyệt Chromium (nền tảng cốt lõi đứng sau hàng loạt trình duyệt phổ biến hiện nay như Google Chrome, Microsoft Edge, Opera hay Brave). Lỗ hổng này có thể bị khai thác chỉ bằng cách người dùng truy cập vào một trang web được thiết kế đặc biệt, mở ra nguy cơ tấn công từ xa, làm gián đoạn hoạt động trình duyệt, rò rỉ dữ liệu và thậm chí là chiếm quyền kiểm soát hệ thống trong những kịch bản xấu nhất.

​

Lỗ hổng là gì, nằm ở đâu và được phát hiện như thế nào?​

Lỗ hổng được định danh là CVE-2025-14174, tồn tại trong thành phần Almost Native Graphics Layer Engine (ANGLE) của Chromium. ANGLE đóng vai trò như một lớp trung gian, chuyển đổi các lệnh đồ họa OpenGL ES thành các chỉ thị đồ họa gốc phù hợp với từng hệ điều hành và phần cứng. Đây là một thành phần quan trọng trong quá trình hiển thị nội dung web hiện đại, đặc biệt là các trang sử dụng đồ họa, video và hiệu ứng phức tạp.

Theo Google, lỗ hổng được phát hiện trong quá trình kiểm tra bảo mật nội bộ định kỳ. Sau khi xác nhận mức độ ảnh hưởng, Google đã phối hợp với các nhà cung cấp trình duyệt khác để công bố thông tin và triển khai bản vá đồng bộ, nhằm giảm thiểu nguy cơ bị khai thác trên diện rộng.

Nguyên nhân kỹ thuật và cơ chế khai thác​

Về bản chất, CVE-2025-14174 là một lỗi truy cập bộ nhớ ngoài phạm vi cho phép. Kẻ tấn công có thể tạo ra một trang HTML độc hại, khi được trình duyệt nạn nhân mở sẽ kích hoạt lỗi xử lý trong ANGLE, dẫn đến việc đọc hoặc ghi dữ liệu vào các vùng bộ nhớ không hợp lệ.

Trong thực tế, kiểu lỗi này đặc biệt nguy hiểm vì nó không chỉ gây treo hoặc sập trình duyệt, mà còn có thể bị lợi dụng để thực thi mã tùy ý trong không gian bộ nhớ của trình duyệt, tùy thuộc vào môi trường và biện pháp phòng vệ đang được bật. Đáng chú ý, quá trình khai thác gần như không yêu cầu tương tác đặc biệt nào từ phía người dùng ngoài việc truy cập một trang web, khiến nguy cơ tấn công “drive-by” trở nên rất thực tế.

Phạm vi ảnh hưởng và mức độ nguy hiểm​

Do ANGLE là thành phần dùng chung trong Chromium, lỗ hổng này ảnh hưởng tới hầu hết các trình duyệt phổ biến hiện nay, bao gồm Google Chrome, Microsoft Edge, Opera và Brave, trên nhiều nền tảng hệ điều hành khác nhau. Điều này đồng nghĩa với việc hàng trăm triệu, thậm chí hàng tỷ người dùng trên toàn cầu có thể nằm trong diện rủi ro nếu chưa cập nhật bản vá.

Các chuyên gia an ninh mạng cảnh báo rằng, dù hiện chưa ghi nhận bằng chứng lỗ hổng bị khai thác ngoài thực tế, nhưng các lỗi truy cập bộ nhớ dạng này thường nhanh chóng bị tin tặc nghiên cứu và “vũ khí hóa” sau khi thông tin được công bố. Những kịch bản tấn công tiềm năng bao gồm phát tán mã độc thông qua quảng cáo độc hại, trang web bị xâm nhập hoặc các chiến dịch lừa đảo nhắm vào người dùng doanh nghiệp.

Cảnh báo từ CISA và tác động tới doanh nghiệp​

CISA đã phát hành khuyến cáo chính thức, nhấn mạnh rằng kẻ tấn công có thể lợi dụng lỗ hổng để truy cập dữ liệu nhạy cảm hoặc xâm nhập tiến trình trình duyệt. CISA kêu gọi các tổ chức nhanh chóng áp dụng các bản cập nhật hiện có, đồng thời tuân thủ các yêu cầu trong Binding Operational Directive (BOD) 22-01 đối với các dịch vụ hướng Internet và môi trường được quản lý trên nền tảng đám mây.

Đối với các hệ thống chưa thể vá lỗi ngay, CISA khuyến nghị tạm thời ngừng đưa các trình duyệt dễ bị ảnh hưởng vào vận hành, nhằm tránh nguy cơ bị khai thác trong thời gian chờ bản vá.

Giải pháp khuyến nghị và các lưu ý quan trọng​

Google cho biết bản vá đã được tích hợp vào các phiên bản Chromium mới nhất và sẽ sớm được phát hành rộng rãi thông qua các bản cập nhật trình duyệt. Người dùng cá nhân được khuyến cáo bật cập nhật tự động hoặc chủ động kiểm tra và cập nhật trình duyệt càng sớm càng tốt.

Đối với môi trường doanh nghiệp, các chuyên gia an ninh mạng khuyến nghị:

• Triển khai chính sách bắt buộc cập nhật trình duyệt thông qua cơ chế quản lý tập trung.
• Hạn chế hoặc ngăn chặn việc sử dụng các phiên bản trình duyệt lỗi thời.
• Kết hợp các biện pháp phòng vệ bổ sung như lọc nội dung web, cô lập trình duyệt và giám sát liên tục thiết bị đầu cuối để phát hiện sớm dấu hiệu khai thác bất thường.

Việc phát hiện lỗ hổng CVE-2025-14174 cho thấy trình duyệt web vẫn là một trong những bề mặt tấn công hấp dẫn nhất đối với tin tặc, do mức độ phổ biến và vai trò trung tâm trong hoạt động số hàng ngày. Dù chưa có bằng chứng bị khai thác thực tế, bản chất nguy hiểm của lỗi truy cập bộ nhớ ngoài phạm vi đòi hỏi người dùng và tổ chức phải hành động sớm, thay vì chờ đợi các dấu hiệu tấn công rõ ràng.

Trong bối cảnh các chiến dịch tấn công ngày càng tinh vi và nhắm vào những nền tảng được sử dụng rộng rãi, việc duy trì chu trình vá lỗi nhanh, quản lý rủi ro chủ động và nâng cao nhận thức bảo mật cho người dùng vẫn là yếu tố then chốt để bảo vệ hệ thống và dữ liệu trước các mối đe dọa đang không ngừng gia tăng.