📰 Informação fresquinha chegando para você!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram detalhes de uma falha de segurança agora corrigida no Google Chrome que poderia ter permitido que invasores aumentassem privilégios e obtivessem acesso a arquivos locais no sistema.
A vulnerabilidade, rastreada como CVE-2026-0628 (pontuação CVSS: 8,8), foi descrita como um caso de aplicação insuficiente de políticas na tag WebView. Foi corrigido pelo Google no início de janeiro de 2026 na versão 143.0.7499.192/.193 para Windows/Mac e 143.0.7499.192 para Linux.
“A aplicação insuficiente de políticas na tag WebView no Google Chrome antes de 143.0.7499.192 permitiu que um invasor convencesse um usuário a instalar uma extensão maliciosa para injetar scripts ou HTML em uma página privilegiada por meio de uma extensão criada do Chrome”, de acordo com uma descrição no NIST National Vulnerability Database (NVD).
Gal Weizman, pesquisador da Unidade 42 da Palo Alto Networks, que descobriu e relatou a falha em 23 de novembro de 2025, disse que o problema poderia ter permitido que extensões maliciosas com permissões básicas assumissem o controle do novo painel Gemini Live no Chrome. O painel pode ser iniciado clicando no ícone Gemini localizado na parte superior da janela do navegador. O Google adicionou integração Gemini ao Chrome em setembro de 2025.
Este ataque pode ter sido abusado por um invasor para obter escalonamento de privilégios, permitindo-lhe acessar a câmera e o microfone da vítima sem sua permissão, fazer capturas de tela de qualquer site e acessar arquivos locais.
As descobertas destacam um vetor de ataque emergente decorrente da incorporação de inteligência artificial (IA) e capacidades de agente diretamente em navegadores da Web para facilitar o resumo de conteúdo em tempo real, a tradução e a execução automatizada de tarefas, já que as mesmas capacidades podem ser abusadas para executar ações privilegiadas.
O problema, em sua essência, é a necessidade de conceder a esses agentes de IA acesso privilegiado ao ambiente de navegação para realizar operações em várias etapas, tornando-se assim uma faca de dois gumes quando um invasor incorpora prompts ocultos em uma página da Web maliciosa e um usuário vítima é induzido a acessá-la por meio de engenharia social ou algum outro meio.
O prompt poderia instruir o assistente de IA a executar ações que de outra forma seriam bloqueadas pelo navegador, levando à exfiltração de dados ou execução de código. Pior ainda, a página web poderia manipular o agente para armazenar as instruções na memória, fazendo com que elas persistissem durante as sessões.
Além da superfície de ataque expandida, a Unidade 42 disse que a integração de um painel lateral de IA em navegadores agentes traz de volta os riscos clássicos de segurança dos navegadores.
“Ao colocar este novo componente no contexto de alto privilégio do navegador, os desenvolvedores poderiam inadvertidamente criar novas falhas lógicas e fraquezas de implementação”, disse Weizman. “Isso pode incluir vulnerabilidades relacionadas a scripts entre sites (XSS), escalonamento de privilégios e ataques de canal lateral que podem ser explorados por sites ou extensões de navegador menos privilegiados.”
Embora as extensões do navegador operem com base em um conjunto definido de permissões, a exploração bem-sucedida do CVE-2026-0628 prejudica o modelo de segurança do navegador e permite que um invasor execute código arbitrário em "gemini.google[.]com/app" por meio do painel do navegador e obtenha acesso a dados confidenciais.
“Uma extensão com acesso a um conjunto de permissões básicas por meio da API declarativaNetRequest permitiu permissões que poderiam ter permitido a um invasor injetar código JavaScript no novo painel Gemini”, acrescentou Weizman. "Quando o aplicativo Gemini é carregado neste novo componente do painel, o Chrome fornece acesso a recursos poderosos."
É importante notar que a API declarativeNetRequest permite que extensões interceptem e alterem propriedades de solicitações e respostas da web HTTPS. É usado por extensões de bloqueio de anúncios para interromper a emissão de solicitações de carregamento de anúncios em páginas da web.
Em outras palavras, tudo o que um invasor precisa é enganar um usuário desavisado para que instale uma extensão especialmente criada, que poderia então injetar código JavaScript arbitrário no painel lateral do Gemini para interagir com o sistema de arquivos, fazer capturas de tela, acessar a câmera, ligar o microfone – todos os recursos necessários para que o assistente de IA execute suas tarefas.
“Essa diferença no tipo de componente que carrega o aplicativo Gemini é a linha entre o comportamento intencional e uma falha de segurança”, disse a Unidade 42. É esperada uma extensão que influencie um site. No entanto, uma extensão que influencia um componente incorporado ao navegador é um sério risco de segurança."
A vulnerabilidade, rastreada como CVE-2026-0628 (pontuação CVSS: 8,8), foi descrita como um caso de aplicação insuficiente de políticas na tag WebView. Foi corrigido pelo Google no início de janeiro de 2026 na versão 143.0.7499.192/.193 para Windows/Mac e 143.0.7499.192 para Linux.
“A aplicação insuficiente de políticas na tag WebView no Google Chrome antes de 143.0.7499.192 permitiu que um invasor convencesse um usuário a instalar uma extensão maliciosa para injetar scripts ou HTML em uma página privilegiada por meio de uma extensão criada do Chrome”, de acordo com uma descrição no NIST National Vulnerability Database (NVD).
Gal Weizman, pesquisador da Unidade 42 da Palo Alto Networks, que descobriu e relatou a falha em 23 de novembro de 2025, disse que o problema poderia ter permitido que extensões maliciosas com permissões básicas assumissem o controle do novo painel Gemini Live no Chrome. O painel pode ser iniciado clicando no ícone Gemini localizado na parte superior da janela do navegador. O Google adicionou integração Gemini ao Chrome em setembro de 2025.
Este ataque pode ter sido abusado por um invasor para obter escalonamento de privilégios, permitindo-lhe acessar a câmera e o microfone da vítima sem sua permissão, fazer capturas de tela de qualquer site e acessar arquivos locais.
As descobertas destacam um vetor de ataque emergente decorrente da incorporação de inteligência artificial (IA) e capacidades de agente diretamente em navegadores da Web para facilitar o resumo de conteúdo em tempo real, a tradução e a execução automatizada de tarefas, já que as mesmas capacidades podem ser abusadas para executar ações privilegiadas.
O problema, em sua essência, é a necessidade de conceder a esses agentes de IA acesso privilegiado ao ambiente de navegação para realizar operações em várias etapas, tornando-se assim uma faca de dois gumes quando um invasor incorpora prompts ocultos em uma página da Web maliciosa e um usuário vítima é induzido a acessá-la por meio de engenharia social ou algum outro meio.
O prompt poderia instruir o assistente de IA a executar ações que de outra forma seriam bloqueadas pelo navegador, levando à exfiltração de dados ou execução de código. Pior ainda, a página web poderia manipular o agente para armazenar as instruções na memória, fazendo com que elas persistissem durante as sessões.
Além da superfície de ataque expandida, a Unidade 42 disse que a integração de um painel lateral de IA em navegadores agentes traz de volta os riscos clássicos de segurança dos navegadores.
“Ao colocar este novo componente no contexto de alto privilégio do navegador, os desenvolvedores poderiam inadvertidamente criar novas falhas lógicas e fraquezas de implementação”, disse Weizman. “Isso pode incluir vulnerabilidades relacionadas a scripts entre sites (XSS), escalonamento de privilégios e ataques de canal lateral que podem ser explorados por sites ou extensões de navegador menos privilegiados.”
Embora as extensões do navegador operem com base em um conjunto definido de permissões, a exploração bem-sucedida do CVE-2026-0628 prejudica o modelo de segurança do navegador e permite que um invasor execute código arbitrário em "gemini.google[.]com/app" por meio do painel do navegador e obtenha acesso a dados confidenciais.
“Uma extensão com acesso a um conjunto de permissões básicas por meio da API declarativaNetRequest permitiu permissões que poderiam ter permitido a um invasor injetar código JavaScript no novo painel Gemini”, acrescentou Weizman. "Quando o aplicativo Gemini é carregado neste novo componente do painel, o Chrome fornece acesso a recursos poderosos."
É importante notar que a API declarativeNetRequest permite que extensões interceptem e alterem propriedades de solicitações e respostas da web HTTPS. É usado por extensões de bloqueio de anúncios para interromper a emissão de solicitações de carregamento de anúncios em páginas da web.
Em outras palavras, tudo o que um invasor precisa é enganar um usuário desavisado para que instale uma extensão especialmente criada, que poderia então injetar código JavaScript arbitrário no painel lateral do Gemini para interagir com o sistema de arquivos, fazer capturas de tela, acessar a câmera, ligar o microfone – todos os recursos necessários para que o assistente de IA execute suas tarefas.
“Essa diferença no tipo de componente que carrega o aplicativo Gemini é a linha entre o comportamento intencional e uma falha de segurança”, disse a Unidade 42. É esperada uma extensão que influencie um site. No entanto, uma extensão que influencia um componente incorporado ao navegador é um sério risco de segurança."
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #nova #vulnerabilidade #do #chrome #permite #que #extensões #maliciosas #aumentem #privilégios #por #meio #do #gemini #panel
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário