Google Chrome: Ενεργό exploit στη μηχανή γραφικών ANGLE – Τρέξτε το update

Η Υπηρεσία Κυβερνοασφάλειας και Υποδομών των ΗΠΑ (CISA) προχώρησε στην προσθήκη μιας νέας ευπάθειας στον κατάλογο των Γνωστών Εκμεταλλεύσιμων Ευπαθειών (KEV). Πρόκειται για το CVE-2025-14174, ένα κενό ασφαλείας «υψηλής σοβαρότητας» στη μηχανή γραφικών ANGLE του Google Chrome, το οποίο, σύμφωνα με την Google, έχει ήδη χρησιμοποιηθεί σε στοχευμένες επιθέσεις (exploited in the wild).

Το τεχνικό πρόβλημα περιγράφεται ως «πρόσβαση μνήμης εκτός ορίων» (out-of-bounds memory access) στο ANGLE, το υποσύστημα που μεταφράζει εντολές WebGL και OpenGL σε εγγενείς εντολές της GPU. Αν και η επίσημη καταγραφή στη βάση δεδομένων NVD (National Vulnerability Database) αναφέρεται συγκεκριμένα σε «Google Chrome σε Mac πριν την έκδοση 143.0.7499.110», η φύση του ANGLE ως cross-platform στοιχείου οδήγησε την Google στην έκδοση διορθώσεων για όλα τα desktop λειτουργικά συστήματα.

Η ευπάθεια εντοπίστηκε από την ομάδα Apple Security Engineering and Architecture (SEAR) σε συνεργασία με το Google Threat Analysis Group (TAG). Ένας επιτιθέμενος θα μπορούσε, μέσω μιας ειδικά σχεδιασμένης σελίδας HTML, να προκαλέσει διαφθορά μνήμης (memory corruption). Αν και οι λεπτομέρειες για την αλυσίδα της επίθεσης παραμένουν περιορισμένες για λόγους ασφαλείας, τέτοιου είδους σφάλματα μπορούν δυνητικά να οδηγήσουν σε εκτέλεση αυθαίρετου κώδικα (arbitrary code execution) εντός της διεργασίας του browser.

Η Google συνιστά στους χρήστες να προχωρήσουν άμεσα σε αναβάθμιση, καθώς το exploit είναι ενεργό. Οι ασφαλείς εκδόσεις που διανέμονται μέσω του Stable καναλιού είναι:

• Windows και macOS: 143.0.7499.109 ή 143.0.7499.110

• Linux: 143.0.7499.109

Οι χρήστες browsers που βασίζονται στο Chromium (όπως Microsoft Edge, Brave, Vivaldi) αναμένεται να λάβουν τις αντίστοιχες ενημερώσεις εντός των επόμενων ωρών ή ημερών, καθώς ενσωματώνουν τον διορθωμένο κώδικα του Chromium.

Πηγές

• Stable Channel Update for Desktop — Chrome Releases
• CVE-2025-14174 Detail — NVD
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA