CVE-2025-6179

Błąd sklasyfikowany jako CWE-276 (nieprawidłowe uprawnienia domyślne) dotyczy mechanizmu zarządzania rozszerzeniami w ChromeOS na zarządzanych urządzeniach. Atakujący z lokalnym dostępem do urządzenia może wykorzystać narzędzia ExtHang3r i ExtPrint3r, aby wyeksploitować tę podatność. W efekcie możliwe jest wyłączenie rozszerzeń wymuszonych przez politykę korporacyjną oraz odblokowanie trybu deweloperskiego (Developer Mode), co otwiera drogę do ładowania dodatkowych, nieautoryzowanych rozszerzeń.

Atakujący może wyłączyć rozszerzenia bezpieczeństwa narzucone przez administratora, uzyskać dostęp do trybu deweloperskiego oraz załadować własne, potencjalnie złośliwe rozszerzenia — co może prowadzić do naruszenia poufności, integralności i dostępności danych na urządzeniu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie aktualizacji w Google Issue Tracker (issues.chromium.org/issues/b/399652193) i niezwłoczne wdrożenie poprawionej wersji ChromeOS po jej udostępnieniu przez Google.

Google ChromeOS w wersji 16181.27.0 na zarządzanych urządzeniach Chrome (managed Chrome devices).

Podatność dotyczy wyłącznie urządzeń zarządzanych (managed Chrome devices), co oznacza środowiska korporacyjne lub edukacyjne ze scentralizowanym zarządzaniem politykami. W opisie wymieniono konkretne narzędzia wykorzystywane do eksploitacji: ExtHang3r i ExtPrint3r. Mimo oceny CVSS 9.8, wymagany jest lokalny dostęp do urządzenia (AV:N w wektorze odnosi się do osiągalności sieciowej jedynie w kontekście klasyfikacji CVSS, jednak opis wskazuje na atakującego lokalnego).