🟠 《高危安全漏洞：CVE-2026-17685》

CVSS 评分: 高危（8.8）　　状态: Undergoing Analysis　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17685 是一个存在于 Google Chrome 浏览器中的高危漏洞，属于 释放后使用（Use After Free，CWE-416） 类型。该漏洞位于 Chrome 的 自动填充（Autofill） 功能模块中。

具体来说，当用户访问一个攻击者精心构造的 HTML 页面 时，由于浏览器在处理自动填充相关对象时未能正确管理内存生命周期，导致在释放内存后仍然保留了指向该内存的指针。攻击者可以利用这一缺陷，在沙盒环境（sandbox）内执行任意代码（arbitrary code）。

该漏洞由 Chromium 安全团队评定为 高危（High） 严重性。

影响范围

  • 受影响软件：Google Chrome（以及基于 Chromium 的浏览器）
  • 受影响版本：所有早于 151.0.7922.72 的版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本

风险分析

  1. 攻击方式：远程攻击者无需任何用户交互（除正常浏览外），只需诱导用户访问一个包含恶意代码的 HTML 页面即可触发漏洞。攻击复杂度较低（AC:L），且无需提前获取用户权限（PR:N）。

  2. 攻击后果：

    • 代码执行：攻击者能够在 Chrome 沙盒（sandbox）内部执行任意代码。虽然沙盒机制会限制对操作系统底层的直接访问，但结合其他沙盒逃逸漏洞，攻击者仍有可能完全控制用户系统。
    • 数据泄露：由于自动填充功能通常存储用户的敏感信息（如密码、信用卡号、地址等），攻击者可能通过该漏洞窃取这些数据，导致 机密性（Confidentiality） 受损。
    • 完整性破坏：攻击者可以修改浏览器内存中的数据，导致 完整性（Integrity） 受损。
    • 可用性影响：恶意代码执行可能导致浏览器崩溃或系统资源被耗尽，影响 可用性（Availability）。

  3. CVSS 评分：根据 CVSS:3.1 向量（AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H），该漏洞的 基础评分为 8.8（高危）。尽管需要用户交互（UI:R，即用户需点击或浏览恶意页面），但由于攻击面广（网络远程触发）且影响全面（机密性、完整性、可用性均为高），实际风险极高。

总结：此漏洞是典型的浏览器内存破坏漏洞，攻击者可通过恶意网页远程触发，实现沙盒内任意代码执行。用户应立即更新 Chrome 至 151.0.7922.72 或更高版本以消除风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-17685
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Undergoing Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接