Google vừa phát hành một bản cập nhật bảo mật khẩn cấp cho trình duyệt Chrome, nhằm khắc phục hai lỗ hổng CVE nghiêm trọng. Trong đó, một lỗ hổng thực thi mã từ xa (remote code execution) có mức độ nghiêm trọng cao nhất, cho phép kẻ tấn công kiểm soát hoàn toàn hệ thống của người dùng.

Tổng Quan Về Bản Cập Nhật Khẩn Cấp Chrome

Bản cập nhật kênh ổn định này đưa Chrome lên phiên bản 140.0.7339.127/.128 cho Windows, 140.0.7339.132/.133 cho Mac và 140.0.7339.127 cho Linux. Mục tiêu chính của bản cập nhật bản vá này là giải quyết các điểm yếu bảo mật có thể bị khai thác tích cực.

Việc triển khai bản vá được thực hiện dần dần trong những ngày và tuần tới. Google duy trì chính sách hạn chế công bố chi tiết về các lỗ hổng cho đến khi phần lớn người dùng nhận được bản vá. Điều này nhằm ngăn chặn nguy cơ khai thác trong giai đoạn chuyển tiếp.

Phân Tích Kỹ Thuật Các Lỗ Hổng CVE Nghiêm Trọng

Bản cập nhật này giải quyết hai lỗ hổng CVE cụ thể, mỗi lỗ hổng đều mang theo những rủi ro đáng kể đối với người dùng Chrome.

CVE-2025-10200: Lỗ Hổng Use-After-Free Trong ServiceWorker

Lỗ hổng nghiêm trọng nhất được khắc phục trong bản cập nhật này là CVE-2025-10200, một lỗ hổng use-after-free trong thành phần ServiceWorker của Chrome. Đây là một điểm yếu có mức độ nghiêm trọng cao nhất.

Nghiên cứu bảo mật Looben Yang đã phát hiện ra lỗ hổng này và được Google thưởng số tiền 43.000 USD. Thông tin về lỗ hổng được báo cáo vào ngày 22 tháng 8 năm 2025, thể hiện cam kết của Google trong việc công bố và vá lỗi nhanh chóng.

Các lỗ hổng use-after-free xảy ra khi một chương trình tiếp tục sử dụng vùng bộ nhớ đã được giải phóng. Tình trạng này có thể cho phép kẻ tấn công ghi đè lên dữ liệu hợp lệ. Từ đó, dẫn đến việc thực thi mã tùy ý, thường là remote code execution (RCE), trên hệ thống nạn nhân.

ServiceWorker là các script chạy ngầm, cho phép các ứng dụng web hoạt động ngoại tuyến và xử lý các yêu cầu mạng. Một lỗ hổng trong thành phần này gây ra rủi ro đáng kể vì ServiceWorker hoạt động với các đặc quyền nâng cao và có thể ảnh hưởng đến cách các trang web tương tác với chức năng cốt lõi của trình duyệt.

Khi bị khai thác thành công, lỗ hổng CVE này có thể cho phép kẻ tấn công thực hiện mã độc hại mà không cần tương tác trực tiếp từ người dùng. Điều này đặt ra một mối đe dọa nghiêm trọng cho tính toàn vẹn và bảo mật của hệ thống.

Để tìm hiểu thêm về thông báo cập nhật, bạn có thể tham khảo Chrome Releases Blog.

CVE-2025-10201: Lỗ Hổng Triển Khai Không Chính Xác Trong Mojo

Lỗ hổng thứ hai, CVE-2025-10201, ảnh hưởng đến hệ thống giao tiếp liên tiến trình (inter-process communication – IPC) Mojo của Chrome. Lỗ hổng này được xếp hạng nghiêm trọng ở mức độ cao.

Các nhà nghiên cứu bảo mật Sahan Fernando và một cộng tác viên ẩn danh đã phát hiện ra lỗi triển khai không chính xác này. Họ đã nhận được tổng cộng 30.000 USD tiền thưởng.

Mojo đóng vai trò quan trọng trong việc tạo điều kiện giao tiếp an toàn giữa các tiến trình Chrome khác nhau. Do đó, các lỗ hổng trong hệ thống này đặc biệt đáng lo ngại đối với kiến trúc bảo mật của trình duyệt.

Các lỗ hổng triển khai không chính xác thường liên quan đến việc xử lý không đúng ranh giới bảo mật. Hoặc, xác thực dữ liệu không phù hợp khi dữ liệu truyền qua các thành phần hệ thống. Mặc dù không dễ khai thác ngay lập tức như các lỗ hổng use-after-free, những vấn đề này vẫn có thể dẫn đến leo thang đặc quyền hoặc các kịch bản vượt qua bảo mật.

Khi bị khai thác, lỗ hổng CVE này có thể cho phép kẻ tấn công vượt qua các biện pháp bảo vệ. Điều này dẫn đến các hành động trái phép hoặc nâng cao đặc quyền trên hệ thống bị ảnh hưởng. Các chuyên gia an ninh mạng khuyến nghị cần ưu tiên giải quyết các lỗ hổng loại này để duy trì một môi trường duyệt web an toàn.

Các Phiên Bản Chrome Bị Ảnh Hưởng và Cập Nhật Khuyến Nghị

Người dùng đang sử dụng các phiên bản Chrome trước 140.0.7339.127/.128 (Windows), 140.0.7339.132/.133 (Mac), và 140.0.7339.127 (Linux) đều có nguy cơ bị ảnh hưởng bởi các lỗ hổng CVE này.

Để đảm bảo an toàn, tất cả người dùng Chrome được khuyến nghị thực hiện cập nhật bản vá ngay lập tức. Việc trì hoãn cập nhật có thể khiến hệ thống tiếp tục dễ bị tấn công bởi các mối đe dọa đã biết và đã được vá.

Cơ Chế Phát Hiện Lỗ Hổng và Cam Kết Bảo Mật Của Google

Google liên tục áp dụng các công cụ phát hiện nâng cao để xác định các vấn đề bảo mật ngay trong quá trình phát triển. Điều này bao gồm việc sử dụng:

• AddressSanitizer: Phát hiện các lỗi truy cập bộ nhớ.
• MemorySanitizer: Phát hiện việc sử dụng bộ nhớ chưa được khởi tạo.
• UndefinedBehaviorSanitizer: Phát hiện các hành vi không xác định trong mã.
• Control Flow Integrity (CFI): Giúp ngăn chặn các cuộc tấn công thay đổi luồng điều khiển của chương trình.
• libFuzzer: Một công cụ fuzzing để tìm kiếm các lỗi không mong muốn.
• AFL (American Fuzzy Lop): Một công cụ fuzzing hiệu quả khác.

Cách tiếp cận chủ động này giúp ngăn chặn các lỗ hổng nghiêm trọng lọt vào các bản phát hành ổn định. Tuy nhiên, không có hệ thống nào hoàn hảo, và việc phát hiện các lỗ hổng CVE mới vẫn là một phần không thể tránh khỏi của quá trình phát triển phần mềm phức tạp.

Đội ngũ bảo mật của Chrome nhấn mạnh rằng việc duy trì quy trình kiểm tra và vá lỗi nghiêm ngặt là chìa khóa để bảo vệ hàng tỷ người dùng trên toàn cầu khỏi các cuộc tấn công mạng ngày càng tinh vi.

Hướng Dẫn Cập Nhật Trình Duyệt Chrome

Người dùng nên cập nhật bản vá trình duyệt Chrome của mình càng sớm càng tốt để đảm bảo được bảo vệ khỏi các lỗ hổng bảo mật nghiêm trọng này. Quá trình cập nhật rất đơn giản và có thể thực hiện theo các bước sau:

1. Mở trình duyệt Google Chrome.
2. Nhấp vào biểu tượng ba dấu chấm dọc (Menu) ở góc trên bên phải.
3. Chọn Trợ giúp (Help).
4. Chọn Giới thiệu về Google Chrome (About Google Chrome).

Trình duyệt sẽ tự động kiểm tra và tải xuống bản cập nhật bản vá mới nhất. Sau khi cập nhật hoàn tất, bạn sẽ được yêu cầu khởi động lại trình duyệt để áp dụng các thay đổi.