Google lanzó una actualización de seguridad para abordar una vulnerabilidad de alta severidad identificada como CVE-2025-4664. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) confirmó que la vulnerabilidad está siendo explotada activamente.
Vulnerabilidad y mecanismo de ataque
La vulnerabilidad CVE-2025-4664 se debe a una aplicación inadecuada de las políticas de seguridad en el componente Loader de Chrome. Esta debilidad permite el filtrado no autorizado de datos entre orígenes.
La vulnerabilidad puede ser aprovechada por actores maliciosos para realizar exfiltración de datos sensibles y secuestrar sesiones de usuario o cuentas, particularmente en autenticaciones OAuth. El fallo puede ser explotado a través de una página HTML especialmente diseñada con fines maliciosos.
Versiones afectadas y condiciones de explotación
Las versiones vulnerables de Chrome son aquellas anteriores a v136.0.7103.113/.114. La explotación requiere interacción del usuario, ya que este debe acceder a la página maliciosa.
El vector de ataque abusa de cómo Chrome maneja la cabecera Link y la política de referencia (referrer-policy). Esta técnica puede resultar efectiva en contextos donde los parámetros contienen tokens de autenticación o credenciales temporales.
Mitigaciones y correcciones
La inclusión de CVE-2025-4664 en el catálogo KEV obliga a las agencias civiles del gobierno federal de EE.UU. a aplicar medidas de mitigación antes del 5 de julio de 2025.
Se recomienda que todas las organizaciones, incluidas las del sector privado, verifiquen que estén ejecutando versiones actualizadas de Chrome. Los usuarios que gestionan manualmente sus actualizaciones deben cerrar todas las instancias del navegador y reiniciarlo para completar la instalación.
En entornos con actualizaciones automáticas activadas, la corrección ya debería estar aplicada. El fallo también ha sido corregido en Microsoft Edge. Se espera que otros navegadores basados en Chromium, como Opera y Brave, integren el parche en sus próximas versiones.