- شناسه CVE-2025-10890 :CVE
- CWE-203 :CWE
- yes :Advisory
- منتشر شده: سپتامبر 24, 2025
- به روز شده: سپتامبر 24, 2025
- امتیاز: 9.1
- نوع حمله: Side-Channel
- اثر گذاری: Information Disclosure
- حوزه: مرورگرها
- برند: Google
- محصول: Chrome
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری با شدت بحرانی در گوگل کروم نسخه‌های پیش از 140.0.7339.207 به دلیل افشای اطلاعات از طریق کانال جانبی (Side-Channel) در موتور V8 است. این ضعف با بارگذاری یک صفحه HTML مخرب امکان افشای داده‌های cross‑origin را برای مهاجمان از راه دور فراهم می‌کند و می‌تواند منجر به سرقت اطلاعات حساس و نقض حریم خصوصی شود.
توضیحات
آسیب‌پذیری CVE-2025-10890 در موتور V8 مرورگر گوگل کروم، ناشی از افشای اطلاعات از طریق کانال جانبی (Side-Channel) است که مطابق با CWE-203 (Observable Discrepancy) طبقه‌بندی می‌شود.
این ضعف در نسخه‌های پیش از 140.0.7339.207 وجود دارد و به مهاجمان بدون نیاز به احراز هویت اجازه می‌دهد با استفاده از یک صفحه HTML مخرب، داده‌های cross-origin (داده‌های متعلق به دامنه‌های دیگر) مانند کوکی‌ها، محتوای صفحات یا اطلاعات حساس دیگر را از طریق اختلافات قابل مشاهده (observable discrepancies) در عملکرد V8 استخراج کنند.
این آسیب‌پذیری از طریق شبکه با پیچیدگی پایین و بدون نیاز به تعامل کاربر قابل بهره‌برداری است. مهاجم می‌تواند از طریق وب‌سایت‌های مخرب یا محتوای جاسازی‌شده مانند تبلیغات، کاربران را مورد هدف قرار دهد. پیامدهای آن شامل نقض شدید محرمانگی با دسترسی به داده‌های cross-origin مانند اطلاعات کاربر یا محتوای محافظت‌شده و یکپارچگی با امکان دستکاری داده‌ها است.
گوگل این ضعف را در نسخه‌های 140.0.7339.207 برای لینوکس و 140.0.7339.207/.208 برای ویندوز و مک با اصلاح عملکرد V8 برای جلوگیری از افشای اطلاعات از طریق کانال جانبی پچ کرده است.
CVSS
| Score | Severity | Version | Vector String |
| 9.1 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
لیست محصولات آسیب پذیر
| Versions | Platforms | Product |
| affected from 140.0.7339.207 before 140.0.7339.207 | Windows, Mac, Linux | Chrome |
لیست محصولات بروز شده
| Versions | Platforms | Product |
| 140.0.7339.207/.208 | Windows, Mac | Chrome |
| 140.0.7339.207 | Linux | Chrome |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Google Chrome را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Product |
| 993,000 | Google Chrome |
نتیجه گیری
این آسیب‌پذیری با شدت بحرانی در گوگل کروم، به دلیل افشای اطلاعات از طریق کانال جانبی در V8، تهدیدی بسیار جدی برای حریم خصوصی کاربران محسوب می شود و می‌تواند منجر به سرقت داده‌های cross-origin یا نقض حریم خصوصی شود. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: گوگل کروم را به نسخه 0.7339.207 برای لینوکس و 140.0.7339.207/.208 برای ویندوز و مک به‌روزرسانی کنید.
- اجتناب از وب‌سایت‌های مشکوک: از بازدید وب‌سایت‌های غیرقابل اعتماد یا کلیک روی لینک‌های ناشناخته مانند تبلیغات یا ایمیل‌های فیشینگ خودداری کنید.
- فعال‌سازی به‌روزرسانی خودکار: اطمینان حاصل کنید که کروم به‌روزرسانی‌های امنیتی را به‌صورت خودکار دریافت می‌کند.
- استفاده از افزونه‌های امنیتی: از افزونه‌های ضدفیشینگ و آنتی‌ویروس برای مسدود کردن محتوای مخرب استفاده کنید.
- نظارت بر عملکرد مرورگر: عملکرد غیرعادی کروم مانند کندی یا مصرف غیرعادی منابع را بررسی کنید.
- آموزش کاربران: کاربران را در مورد ریسک حملات side-channel و اهمیت به‌روزرسانی مرورگر آگاه کنید.
اجرای این اقدامات، ریسک افشای اطلاعات و نقض حریم خصوصی را به حداقل رسانده و امنیت کاربران کروم را تضمین می‌کند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
ورود اولیه از طریق بارگذاری یک صفحه HTML مخرب یا محتوای جاسازی‌شده (iframe/advert) رخ می‌دهد؛ مهاجم کاربر را با لینک فیشینگ یا تبلیغ آلوده مجبور به باز کردن صفحه می‌کند و بدین‌صورت کد جاوااسکریپت بهره‌بردار در باطن مرورگر اجرا می‌شود.
Defense Evasion (TA0005)
حملات کانال‌جانبی معمولاً با نویز زمانی، پراکندگی و اجرای تدریجی طراحی می‌شوند تا شناسایی مبتنی بر امضا یا رفتار ساده را دور بزنند؛ کد مزاحم رفتار «نِرمال» جاوااسکریپت را تقلید می‌کند.
Credential Access (TA0006)
نتیجه موفق حمله می‌تواند افشایsession cookie ، توکن‌های احراز هویت یا داده‌های حساس cross-origin باشد که به مهاجم اجازه takeover حساب یا دسترسی به سرویس‌های دیگر را می‌دهد.
Collection (TA0009)
اسکریپت مخرب داده‌های هدف‌گرفته‌شده، فرم‌ها، محتوای iframeهای دیگر، نتایج مبتنی بر timing را جمع‌آوری می کند. این داده‌ها می‌توانند برای نفوذهای بعدی یا فروختن اطلاعات استفاده شوند.
Impact (TA0040)
پیامد اصلی، نقض شدید محرمانگی است. افشای داده‌های cross-origin منجر به session takeover، credential theft و تخریب حریم خصوصی می‌شود. در سطح سازمانی این موضوع می‌تواند اعتبار سرویس و اعتماد کاربران را به‌سرعت از بین ببرد.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-10890
- https://www.cvedetails.com/cve/CVE-2025-10890/
- https://chromereleases.googleblog.com/2025/09/stable-channel-update-for-desktop_23.html
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-10890
- https://vuldb.com/?id.325700
- https://nvd.nist.gov/vuln/detail/CVE-2025-10890
- https://cwe.mitre.org/data/definitions/203.html
2 نظرات
چه کاری باید انجام دهیم؟ آخ جان، فقط کافی است به گوگل بگوییم که اون‌ها رو ببندن! این ضعف جانبی در موتور V8 چقدر بی‌احترامی به حریم خصوصی کاربرانه! فکر می‌کنم شاید باید برایش یک جایزه بهترین حمله جانبی از طرف هکرها بگیره. اما خب، حداقل حالا باید سریع‌تر به‌روزرسانی کنیم تا اون‌ها از ما دیگه نترسند. این فقط مثل این است که یه حیوان از شاخه‌اش افتاده و حالا می‌خواد ازت بپرسه چرا شاخش رو نداری!
چه هوشمندانه از گوگل بود که این آسیب‌پذیری جانبی را در مرورگرش کشف کرد! فکر می‌کنم باید از کانال جانبی برای انتقال پیام‌های عاشقانه هم استفاده کنیم. شاید بتوانیم با Observable Discrepancy عزیزمان ارتباط برقرار کنیم. اینقدر سریع است که حتی قبل از اینکه من متوجه شوم، کدهایم در سراسر اینترنت پخش شده! البته باید به‌روزرسانی‌های فوری را انجام دهیم تا این side-channel عاشقانه به جای آسیب‌پذیری، به یک کانال امن تبدیل شود. شاید بتوانیم با این به‌روزرسانی‌ها، سرعت بارگذاری صفحات HTML مخرب را هم افزایش دهیم!