PT-2025-27673 · Google · Google Chrome

Ari Novick · Publicado 2025-07-02 · Atualizado 2025-07-02 · CVE-2025-34092

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas: Google Chrome (versões afetadas não especificadas)

Descrição: Existe uma vulnerabilidade de bypass de criptografia de cookies devido a uma lógica fraca de validação de caminho dentro do serviço de elevação do mecanismo AppBound do Google Chrome. Isso permite que um atacante se passe pelo Chrome ao nomear seu binário de forma similar e posicioná-lo em um caminho semelhante, recuperando assim a chave de criptografia dos cookies. Isso possibilita que processos maliciosos acessem cookies destinados a serem restritos apenas ao processo do Chrome.

Recomendações: Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Authentication

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-287

CWE-706

CWE-290

Identificadores relacionados

BDU:2025-09938

CVE-2025-34092

Produtos afetados

Google Chrome

Referências · 8

• https://twitter.com/CVEnew/status/1940495175882571945 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1940542674576003359 · Publicação no Twitter
• https://twitter.com/xvonfers/status/1940505749073154086 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2025-09938 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2025-34092 · Nota de Segurança
• https://cyberark.com/resources/threat-research-blog/c4-bomb-blowing-up-chromes-appbound-cookie-encryption · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-34092 · Nota de Segurança
• https://vulncheck.com/advisories/google-chrome-appbound-cookie-encryption · Nota