Google heeft een noodupdate uitgebracht voor de Chrome-browser om een ernstige securitykwetsbaarheid te verhelpen. Hierdoor was het mogelijk accounts volledig over te nemen.
De bug, bekend als CVE-2025-4664, heeft volgens Google al een publiek toegankelijke exploit, wat doorgaans wijst op actief misbruik. Gebruikers worden aangeraden hun browser zo snel mogelijk bij te werken naar de nieuwste versie.
De ontdekte kwetsbaarheid werd geanalyseerd door securityonderzoeker Vsevolod Kokorin van Solidlab. Het probleem zit in de Loader-component van Chrome en stelt kwaadwillenden in staat om gegevens tussen verschillende bronnen te lekken via speciaal ontworpen HTML-pagina’s.
Hoe de kwetsbaarheid werkt
“In tegenstelling tot andere browsers verwerkt Chrome de Link-header bij subbronverzoeken. Maar wat is het probleem? Het probleem is dat de Link-header een referrer-policy kan instellen. We kunnen unsafe-url specificeren en zo de volledige queryparameters vastleggen”, legt Kokorin uit.
Volgens de onderzoeker kunnen queryparameters gevoelige informatie bevatten, zoals data gebruikt in OAuth-authenticatiestromen. Dit kan leiden tot volledige overname van accounts. “Ontwikkelaars houden zelden rekening met de mogelijkheid dat queryparameters gestolen kunnen worden via een afbeelding van een externe bron”, voegt hij toe.
Google heeft het probleem verholpen voor gebruikers van Chrome in het Stable Desktop-kanaal. De bijgewerkte versies (136.0.7103.113 voor Windows/Linux en 136.0.7103.114 voor macOS) worden uitgerold naar alle gebruikers.