La nuova vulnerabilità di Chrome mette a rischio la sicurezza dei dati
Recentemente, Google ha rilasciato un aggiornamento di sicurezza significativo per il browser Chrome, correggendo quattro vulnerabilità, tra cui una particolarmente critica attualmente sfruttata attivamente da malintenzionati. Questa falla di sicurezza, identificata come CVE-2025-4664 e con un punteggio CVSS di 4.3, rappresenta un rischio concreto per gli utenti di Chrome a livello globale.
La vulnerabilità è stata classificata come “insufficiente applicazione delle politiche di sicurezza” nel componente Loader del browser Chrome. Essa consente a un attaccante remoto di intercettare dati cross-origin attraverso una pagina HTML appositamente creata, potenzialmente mettendo a rischio informazioni sensibili degli utenti.
Come funziona l’exploit e quali sono i rischi
Il ricercatore di sicurezza Vsevolod Kokorin ha scoperto e segnalato questa vulnerabilità a Google il 5 maggio 2025. Secondo la sua analisi, il problema riguarda la gestione dell’intestazione Link nelle richieste di sotto-risorse da parte di Chrome, in modo diverso rispetto agli altri browser.
Il meccanismo dell’attacco è particolarmente insidioso:
- Chrome elabora l’intestazione Link nelle richieste di sotto-risorse (comportamento unico rispetto ad altri browser)
- L’intestazione Link può impostare una referrer-policy
- Un attaccante può specificare “unsafe-url” e catturare tutti i parametri della query
- I parametri di query frequentemente contengono dati sensibili che possono portare al completo controllo dell’account
Il rischio principale consiste nel furto di informazioni sensibili presenti nei parametri di query, attraverso un’immagine proveniente da una risorsa di terze parti. Questo tipo di attacco è particolarmente pericoloso in quanto potrebbe avvenire silenziosamente, senza che l’utente ne sia consapevole.
Storia recente delle vulnerabilità di Chrome
CVE-2025-4664 non è un caso isolato. Questa è la seconda vulnerabilità di Chrome a essere attivamente sfruttata quest’anno, dopo CVE-2025-2783, scoperta a marzo 2025. Quest’ultima permetteva l’esecuzione arbitraria di codice ed era utilizzata in attacchi di phishing.
Secondo i ricercatori di Kaspersky, gli attacchi che sfruttavano CVE-2025-2783 avvenivano immediatamente dopo che la vittima cliccava su un link in un’email di phishing, aprendo il sito web degli attaccanti attraverso Chrome. Ciò consentiva di installare programmi, visualizzare, modificare o eliminare dati, o persino creare nuovi account con pieni diritti utente.
Come proteggersi efficacemente
Per salvaguardare i propri dati e la privacy, è fondamentale adottare alcune misure di sicurezza:
1. Aggiornare Chrome il prima possibile
La soluzione primaria è aggiornare Google Chrome all’ultima versione disponibile:
- Windows e Mac: versione 136.0.7103.113/.114
- Linux: versione 136.0.7103.113
L’aggiornamento può essere effettuato seguendo questi semplici passaggi:
- Aprire Chrome
- Cliccare sui tre punti in alto a destra
- Andare su “Guida” > “Informazioni su Google Chrome”
- Chrome verificherà automaticamente la disponibilità di aggiornamenti e, se necessario, li installerà
- Riavviare il browser per completare l’aggiornamento
2. Non trascurare altri browser basati su Chromium
Se si utilizzano altri browser basati su Chromium, come Microsoft Edge, Brave, Opera o Vivaldi, è fondamentale controllare e applicare gli aggiornamenti non appena disponibili, poiché condividono lo stesso codice e potrebbero essere vulnerabili alle stesse problematiche.
3. Adottare misure di sicurezza aggiuntive
Oltre all’aggiornamento del browser, esistono altre pratiche di sicurezza utili:
- Utilizzare una VPN affidabile durante la navigazione su reti Wi-Fi pubbliche
- Attivare l’autenticazione a due fattori (2FA) per account significativi
- Evitare di cliccare su link sospetti in email o su siti web non affidabili
- Installare un antivirus di qualità per rilevare e bloccare tentativi di exploit
- Tenere aggiornato il sistema operativo con le ultime patch di sicurezza
Le implicazioni per la privacy dei dati
Questa vulnerabilità solleva interrogativi significativi riguardo alla privacy dei dati degli utenti. Il potenziale furto di parametri di query contenenti informazioni sensibili comporta un serio rischio per la riservatezza delle informazioni personali.
In conformità con il GDPR e altre normative sulla privacy, le aziende che utilizzano Chrome come browser predefinito devono prestare particolare attenzione a questa vulnerabilità, poiché potrebbero essere ritenute responsabili in caso di violazioni dei dati a causa di software obsoleto.
Come funzionano gli attacchi cross-origin
Per comprendere meglio questa vulnerabilità, è utile analizzare il funzionamento degli attacchi cross-origin. Normalmente, i browser implementano la politica della stessa origine (Same-Origin Policy), impedendo a un sito web di accedere ai dati di un altro. Questa misura essenziale protegge la privacy degli utenti.
La vulnerabilità CVE-2025-4664 elude questa protezione, consentendo a un sito malevolo di leggere informazioni da altri domini tramite la manipolazione dell’intestazione Link e della politica di referrer. Questo tipo di attacco è particolarmente insidioso perché:
- Non richiede interazione da parte dell’utente oltre alla visita della pagina compromessa
- Può avvenire silenziosamente in background
- Può rubare informazioni sensibili come token di autenticazione e ID di sessione
- Può portare al furto di identità digitale o all’acquisizione di account
L’importanza degli aggiornamenti di sicurezza
Questo caso sottolinea l’importanza di mantenere aggiornati i software, in particolare i browser web, che rappresentano il principale punto di accesso a Internet. Gli utenti spesso posticipano gli aggiornamenti, ignorando che ogni ritardo aumenta la finestra di vulnerabilità durante la quale i dati possono essere compromessi.
Gli aggiornamenti di sicurezza non sono semplici miglioramenti ma difese cruciali contro minacce concrete. In presenza di vulnerabilità già attivamente sfruttate come CVE-2025-4664, l’aggiornamento diventa un’azione di protezione urgente.
Il panorama in evoluzione delle minacce web
Questa vulnerabilità si colloca in un contesto più ampio di crescente sofisticazione degli attacchi informatici. I criminali informatici stanno affinando le loro tecniche per sfruttare le vulnerabilità dei browser al fine di accedere a dati sensibili.
Alcune tendenze preoccupanti includono:
- Attacchi mirati a specifiche categorie di utenti
- Tecniche di evasione avanzate per eludere sistemi di rilevamento
- Sfruttamento di vulnerabilità zero-day sconosciute ai produttori di software
- Catene di attacco complesse che combinano varie vulnerabilità
Consigli per le aziende
Le organizzazioni dovrebbero prestare particolare attenzione a questa vulnerabilità, implementando adeguate strategie di mitigazione:
- Implementare politiche di aggiornamento automatico per tutti i browser utilizzati
- Sviluppare un piano di risposta agli incidenti specifico per vulnerabilità dei browser
- Formare i dipendenti sui rischi della navigazione web e importanza degli aggiornamenti
- Considerare l’adozione di soluzioni di isolamento del browser per mitigare l’impatto di vulnerabilità
- Eseguire audit di sicurezza regolarmente per individuare configurazioni errate o vulnerabilità non corrette
La vulnerabilità CVE-2025-4664 in Google Chrome evidenzia l’eterna evoluzione delle minacce informatiche. Anche un browser ampiamente utilizzato e mantenuto come Chrome può presentare vulnerabilità critiche, a rischio della privacy e sicurezza degli utenti. La prontezza di Google nel rilasciare un aggiornamento è un segnale positivo, ma la responsabilità di proteggere i dati ricade sugli utenti, che devono applicare tempestivamente gli aggiornamenti di sicurezza.
In un panorama digitale complesso, la vigilanza e la proattività sono essenziali contro le minacce in evoluzione. Mantenere aggiornati i software, adottare pratiche di navigazione sicure e rimanere informati sulle ultime minacce alla sicurezza sono misure fondamentali per proteggere la presenza online.
Fonte: https://www.bitdefender.com/en-us/blog/hotforsecurity/google-chrome-flaw-exploited-take-over-account
