Chrome用戶需立即更新瀏覽器以修復(fù)一個正被利用實(shí)施賬戶接管攻擊的高危漏洞。在某些環(huán)境下，攻擊者甚至能借此繞過多因素認(rèn)證（MFA，Multi-Factor Authentication）。

漏洞詳情與緊急修復(fù)

該漏洞編號為CVE-2025-4664，影響136.0.7103.113之前的所有Chrome版本，是谷歌周三更新中修復(fù)的四個漏洞之一。谷歌在公告中僅表示："已知CVE-2025-4664漏洞的利用代碼已在野出現(xiàn)"，這解釋了為何要打破常規(guī)更新周期發(fā)布緊急補(bǔ)丁。

發(fā)現(xiàn)該漏洞的研究人員、Neplox Security的Vsevolod Kokorin在X平臺（原Twitter）上詳細(xì)說明："與其他瀏覽器不同，Chrome會對子資源請求解析Link頭部。問題在于Link頭部可設(shè)置referrer-policy（引用策略），攻擊者通過指定unsafe-url即可捕獲完整查詢參數(shù)。"

技術(shù)原理與攻擊路徑

Link頭部通常用于網(wǎng)站告知瀏覽器需要預(yù)加載的頁面資源（如圖片）。作為HTTP響應(yīng)的一部分，它能加速響應(yīng)時間。但當(dāng)瀏覽器根據(jù)referrer-policy向第三方服務(wù)器請求資源時，Chrome會傳輸包含安全敏感信息的URL，例如用于身份驗(yàn)證的OAuth流程參數(shù)。

Kokorin指出："查詢參數(shù)可能包含敏感數(shù)據(jù)——在OAuth流程中，這可能導(dǎo)致賬戶接管。開發(fā)者很少考慮通過第三方資源圖片竊取查詢參數(shù)的可能性，使得這種攻擊手法有時出奇有效。"

OAuth作為無需密碼的授權(quán)機(jī)制，廣泛應(yīng)用于單點(diǎn)登錄（SSO）等場景。由于OAuth在MFA之后生效，若攻擊者誘騙用戶泄露URL中的OAuth令牌，就能繞過MFA保護(hù)。

潛在威脅與修復(fù)建議

近期安全廠商已發(fā)現(xiàn)多起精心設(shè)計(jì)的攻擊嘗試?yán)么祟惵┒?。雖然尚不確定是否與谷歌警告的攻擊相關(guān)，但俄羅斯攻擊者很可能利用該漏洞，并可能很快將其應(yīng)用于勒索軟件攻擊。

除CVE-2025-4664外，本次更新還修復(fù)了另一個尚未被利用的關(guān)鍵漏洞CVE-2025-4609，以及兩個未詳細(xì)說明的漏洞。企業(yè)用戶應(yīng)盡快升級至以下版本：

• Windows/Mac：136.0.7103.113/.114
• Linux：136.0.7103.113

企業(yè)需根據(jù)自身遭受攻擊的可能性評估修復(fù)優(yōu)先級。雖然當(dāng)前風(fēng)險(xiǎn)尚屬中等，但鑒于漏洞的潛在危害，建議及時部署補(bǔ)丁。