Ερευνητές κυβερνοασφάλειας αποκάλυψαν μια ευπάθεια στο Google Chrome, η οποία επέτρεπε σε κακόβουλες επεκτάσεις να αναβαθμίσουν τα προνόμιά τους και να αποκτήσουν πρόσβαση σε τοπικά αρχεία του συστήματος. Το πρόβλημα εντοπίστηκε στον τρόπο επιβολής πολιτικής ασφαλείας του WebView, επιτρέποντας την έγχυση κώδικα στο νέο πλευρικό πάνελ του Gemini.
Η εκμετάλλευση του Gemini Live
Η ευπάθεια, με την κωδική ονομασία CVE-2026-0628, έδινε τη δυνατότητα σε επεκτάσεις με βασικά προνόμια να καταλάβουν το πάνελ του Gemini Live, το οποίο ενσωματώθηκε στον Chrome τον Σεπτέμβριο του 2025. Επειδή ο ψηφιακός βοηθός διαθέτει εκ φύσεως υψηλά προνόμια για να εκτελεί εργασίες, η κατάληψή του επέτρεπε στον επιτιθέμενο να:
- Αποκτήσει πρόσβαση στην κάμερα και το μικρόφωνο χωρίς άδεια.
- Τραβήξει στιγμιότυπα οθόνης από οποιαδήποτε ιστοσελίδα.
- Διαβάσει τοπικά αρχεία από τον υπολογιστή του θύματος.
Ο μηχανισμός της επίθεσης
Σύμφωνα με την Unit 42 της Palo Alto Networks, ο επιτιθέμενος χρειαζόταν απλώς να πείσει τον χρήστη να εγκαταστήσει μια φαινομενικά αθώα επέκταση. Χρησιμοποιώντας το declarativeNetRequest API (που χρησιμοποιείται συνήθως από ad-blockers), η επέκταση μπορούσε να εγχύσει JavaScript στον κώδικα του Gemini. Καθώς ο Chrome «συνδέει» την εφαρμογή Gemini με ισχυρές δυνατότητες συστήματος, ο κακόβουλος κώδικας αποκτούσε αυτόματα τις ίδιες ελευθερίες.
Διόρθωση και συστάσεις
Η Google διόρθωσε το σφάλμα στις αρχές Ιανουαρίου 2026. Η ευπάθεια αναδεικνύει τους νέους κινδύνους που προκύπτουν από την άμεση ενσωμάτωση εργαλείων τεχνητής νοημοσύνης στους browsers, καθώς οι δυνατότητες αυτοματοποίησης μπορούν να μετατραπούν σε όπλα exfiltration δεδομένων. Οι χρήστες καλούνται να:
- Ενημερώσουν άμεσα τον Chrome στην έκδοση 143.0.7499.192 ή μεταγενέστερη.
- Είναι προσεκτικοί με την εγκατάσταση επεκτάσεων από μη αξιόπιστες πηγές.