CVE-2025-6179

Ominięcie uprawnień w zarządzaniu rozszerzeniami Google ChromeOS

CVSS 9.8v3.1pub. 2025-06-16upd. 2025-07-02

Podatność w Google ChromeOS 16181.27.0 umożliwia lokalnemu atakującemu ominięcie mechanizmów zarządzania rozszerzeniami na zarządzanych urządzeniach Chrome. Jest to groźne, ponieważ atakujący może wyłączyć wymuszone rozszerzenia, uzyskać dostęp do trybu deweloperskiego i załadować niezatwierdzone rozszerzenia.

▸ Pokaż oryginał (EN)

Permissions Bypass in Extension Management in Google ChromeOS 16181.27.0 on managed Chrome devices allows a local attacker to disable extensions and access Developer Mode, including loading additional extensions via exploiting vulnerabilities using the ExtHang3r and ExtPrint3r tools.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-276 (nieprawidłowe uprawnienia domyślne) dotyczy mechanizmu zarządzania rozszerzeniami w ChromeOS na zarządzanych urządzeniach. Atakujący z lokalnym dostępem do urządzenia może wykorzystać narzędzia ExtHang3r i ExtPrint3r, aby wyeksploitować tę podatność. W efekcie możliwe jest wyłączenie rozszerzeń wymuszonych przez politykę korporacyjną oraz odblokowanie trybu deweloperskiego (Developer Mode), co otwiera drogę do ładowania dodatkowych, nieautoryzowanych rozszerzeń.

Skutki

Atakujący może wyłączyć rozszerzenia bezpieczeństwa narzucone przez administratora, uzyskać dostęp do trybu deweloperskiego oraz załadować własne, potencjalnie złośliwe rozszerzenia — co może prowadzić do naruszenia poufności, integralności i dostępności danych na urządzeniu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie aktualizacji w Google Issue Tracker (issues.chromium.org/issues/b/399652193) i niezwłoczne wdrożenie poprawionej wersji ChromeOS po jej udostępnieniu przez Google.

Kogo dotyczy

Google ChromeOS w wersji 16181.27.0 na zarządzanych urządzeniach Chrome (managed Chrome devices).

Uwagi

Podatność dotyczy wyłącznie urządzeń zarządzanych (managed Chrome devices), co oznacza środowiska korporacyjne lub edukacyjne ze scentralizowanym zarządzaniem politykami. W opisie wymieniono konkretne narzędzia wykorzystywane do eksploitacji: ExtHang3r i ExtPrint3r. Mimo oceny CVSS 9.8, wymagany jest lokalny dostęp do urządzenia (AV:N w wektorze odnosi się do osiągalności sieciowej jedynie w kontekście klasyfikacji CVSS, jednak opis wskazuje na atakującego lokalnego).