موتور جاوااسکریپت V8 مسئول تبدیل، اجرای کدهای JavaScript و بهینه‌سازی آن‌ها برای عملکرد بالا در مرورگر Google Chrome است. از آن‌جا که V8 در مدیریت حافظه، زمان‌بندی اجرای کد و تعامل با زیرسیستم‌های مرورگر دخالت مستقیم دارد، آسیب‌پذیری‌های آن می‌توانند تأثیر وسیعی بر محرمانگی و یکپارچگی داده‌ها در صفحات وب داشته باشند.
آسیب‌پذیری CVE-2025-10890 با شدت 9.1 به مهاجم از راه دور اجازه می‌دهد با ارائه‌ی یک صفحه‌ی HTML ویژه یا اسکریپت ساخته‌شده، از طریق اندازه‌گیری‌های زمانی و آثار جانبی اجرای کد (side‑channel) اطلاعات متعلق به مبدأهای دیگر را استنتاج کند و در نتیجه داده‌های حساس را افشا نماید.
جزئیات آسیب‌پذیری
در این حمله، مهاجم یک صفحه‌ی وب یا قطعه‌کدی را ارائه می‌دهد که با اجرای متوالی عملیات و اندازه‌گیری‌هایی مانند تأخیرهای اجرای توابع، اختلافات در دسترسی به حافظه‌ی نهان (cache) یا تغییر در مصرف منابع، داده‌های زمانی جمع‌آوری می‌کند. با تحلیل آماری این اندازه‌گیری‌ها، مهاجم می‌تواند اطلاعاتی را که باید از نظر مبدأ ایزوله باشند — مانند محتویات نشست‌ها، داده‌های بین‌دامنه یا کلیدهای موقت — بازسازی یا استنتاج کند.
این نوع حمله مستلزم تعامل کاربر است (باز کردن صفحه‌ی مخرب یا بارگذاری آن در چارچوبی که کاربر به‌صورت ناخواسته باز می‌کند). بهره‌برداری موفق می‌تواند به افشای داده‌های بین‌دامنه، افشای محتوای نشست‌ها، دسترسی به اطلاعات حساس بارگذاری‌شده در پنجره‌های دیگر و در موارد پیشرفته به تهدید محرمانگی حساب‌ها و کوکی‌ها منجر شود.
بردار حمله (CVSS 3.1): AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
مهاجم با فریب کاربر برای باز کردن صفحه‌ای مخرب یا قرار دادن آن در یک قاب قابل بارگذاری، کدی اجرا می‌کند که تفاوت‌های رفتاری موتور V8 (زمان‌بندی اجرا، الگوهای کشینگ یا مصرف منابع) را اندازه‌گیری و تحلیل می‌کند؛ با تکرار این اندازه‌گیری‌ها و تحلیل آماری نتایج، می‌توان اطلاعاتی استخراج کرد که باید به‌طور منطقی میان مبدأها ایزوله باشند.
نسخه‌های تحت‌تأثیر
- تمامی نسخه‌های Google Chrome در بازه‌ٔ 140.0.7339.0 تا 140.0.7339.206 گزارش شده‌اند که آسیب‌پذیر هستند.
توصیه‌های امنیتی
- به‌روزرسانی مرورگر: مرورگر Google Chrome را به نسخهٔ 140.0.7339.207 یا بالاتر به‌روزرسانی کنید.
- محدودسازی اجرای کد ناخواسته: در سایت‌های ناشناخته جاوااسکریپت را غیرفعال کنید یا از افزونه‌های مدیریت اسکریپت (مثل لیست سفید) در محیط‌های حساس بهره ببرید.
- ملاحظه در رفتار کاربران: کاربران را نسبت به بازکردن صفحات ناشناس یا لینک‌های مشکوک آموزش دهید.
- نظارت در نقاط پایانی: به‌کارگیری راه‌حل‌های EDR/UEBA برای شناسایی الگوهای بازدید مکرر صفحات ساختگی یا اسکریپت‌های مشکوک.
- محدودسازی محیط‌های حساس: در محیط‌های حساس (مثل پنل‌های مدیریت یا سرویس‌های مالی) از سیاست‌های امنیتی سخت‌گیرانه‌تر و محتوای ایمن‌شده استفاده کنید.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2025-10890
[2]https://www.cvedetails.com/cve/CVE-2025-10890
[3]https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_23.html
- 6