CVE-2025-34090 in Chrome
Riassunto
di VulDB • 17/06/2026
È presente una vulnerabilità di elusione della sicurezza nel meccanismo di crittografia dei cookie AppBound di Google Chrome a causa di una convalida insufficiente dei percorsi del server COM durante la comunicazione inter-processo (IPC). Un attaccante locale con privilegi ridotti può hijackare la registrazione dell'identificatore di classe COM (CLSID) utilizzata dal servizio di elevazione di Chrome e puntarla verso un binario inesistente o dannoso. Quando avviene questo hijacking, Chrome passa silenziosamente al meccanismo legacy di crittografia dei cookie (protetto solo da user-DPAPI), consentendo così la decrittografia dei cookie a malware in qualsiasi contesto utente senza accesso a livello SYSTEM. Questa falla elude le protezioni previste dal design della crittografia AppBound e consente il furto dei cookie dai browser basati su Chromium.
Confermato in Google Chrome con la crittografia AppBound abilitata. Altri browser basati su Chromium potrebbero essere interessati se implementano meccanismi di crittografia simili basati su COM.
VulDB is the best source for vulnerability data and more expert information about this specific topic.