谷歌紧急修复！Chrome 高危零日漏洞遭利用，俄罗斯成攻击目标

谷歌发布带外修复程序以解决其 Windows 版 Chrome 浏览器中的一个高严重性安全漏洞，漏洞攻击目标是俄罗斯的组织。

谷歌发布了带外修复程序，以解决其 Windows 版 Chrome 浏览器中的一个高严重性安全漏洞。该漏洞被追踪为 CVE-2025-2783，被描述为在 Windows 上的 Mojo 中“在未指定情况下提供了不正确的句柄”。

Mojo 指的是一组运行时库，为跨平台的进程间通信提供机制。  按照惯例，谷歌并未透露有关攻击性质、攻击者身份以及可能的目标的更多技术细节。

该漏洞已在 Windows 版 Chrome 134.0.6998.177/.178 中修复。  

“谷歌已意识到有报道称 CVE-2025-2783 的利用程序存在于野外环境。”这家科技巨头在一份简短的公告中承认。 

值得注意的是，CVE-2025-2783 是今年年初以来首个被积极利用的 Chrome 零日漏洞。

卡巴斯基研究人员 Boris Larin 和 Igor Kuznetsov 因在 2025 年 3 月 20 日发现并报告了这一漏洞而受到赞誉。这家俄罗斯网络安全厂商在其自身的公告中，将 CVE-2025-2783 的零日漏洞利用描述为技术复杂的目标攻击，表明高级持续威胁（APT）的特征。该活动被追踪为 Operation ForumTroll。  

“在所有情况下，感染发生在受害者点击网络钓鱼邮件中的链接后，攻击者的网站使用 Google Chrome 网络浏览器打开，”研究人员表示。“无需进一步操作即可被感染。” 

 “该漏洞的本质在于 Chrome 和 Windows 操作系统交叉点上的逻辑错误，允许绕过浏览器的沙箱保护。” 

这些短寿命的链接据说是为目标量身定制的，间谍活动是此次行动的最终目标。

卡巴斯基表示，恶意邮件包含据称来自合法科学和专家论坛 Primakov Readings 组织者的邀请。网络钓鱼邮件针对的是俄罗斯的媒体机构、教育机构和政府组织。

此外，CVE-2025-2783 被设计为与另一个促进远程代码执行的漏洞利用程序一起运行。卡巴斯基表示，他们无法获得第二个漏洞利用程序。 

 “到目前为止分析的所有攻击工件都表明攻击者具有高度复杂性，使我们能够自信地得出结论，一个国家赞助的 APT 组织是此次攻击的幕后黑手。”研究人员表示。

 鉴于该漏洞正在被积极利用，建议使用基于 Chromium 的浏览器（如 Microsoft Edge、Brave、Opera 和 Vivaldi）的用户在补丁可用时尽快应用修复程序。

转载请注明出处@安全威胁纵横，封面由ChatGPT生成；

消息来源：https://thehackernews.com/2025/03/zero-day-alert-google-releases-chrome.html

    更多网络安全视频，请关注视频号“知道创宇404实验室”

原文始发于微信公众号（安全威胁纵横）：谷歌紧急修复！Chrome 高危零日漏洞遭利用，俄罗斯成攻击目标