🔴 《严重安全漏洞：CVE-2026-17675》

CVSS 评分: 严重（9.6）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17675 是一个存在于 Google Chrome 浏览器中 ANGLE 组件（ANGLE，即 Almost Native Graphics Layer Engine，用于将 OpenGL ES 调用转换为 DirectX 或 Vulkan 等底层图形 API）的 越界写入（Out of bounds write） 漏洞，对应 CWE-787 分类。该漏洞允许已攻陷渲染进程（renderer process）的远程攻击者，通过精心构造的 HTML 页面，潜在地实现沙箱逃逸（sandbox escape）。

该漏洞由 Chromium 安全团队评定为 高危（High） 严重性。攻击者需要首先通过其他手段（如另一个漏洞）获得对渲染进程的控制权，然后利用此漏洞突破浏览器的沙箱限制，从而在用户系统上执行更高级别的恶意操作。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本
  • 相关组件：ANGLE（图形层引擎）

风险分析

  1. 攻击前提：攻击者需要先通过其他漏洞或手段成功攻陷浏览器的渲染进程（renderer process）。渲染进程通常负责解析和渲染网页内容，但运行在沙箱（sandbox）中，权限受限。
  2. 攻击方式：攻击者利用此漏洞，通过向受害者发送一个特制的 HTML 页面（crafted HTML page），触发 ANGLE 组件在处理图形渲染时发生越界写入。
  3. 攻击后果：成功利用此漏洞后，攻击者可以从受限的渲染进程沙箱中逃逸（sandbox escape），获得在用户操作系统上执行任意代码的能力。这可能导致：
    • 完全控制用户浏览器及系统
    • 窃取敏感数据（如密码、Cookie、文件）
    • 安装恶意软件或后门
    • 进一步横向移动或攻击内网资源

CVSS 评分分析（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H）：

  • 攻击向量（AV:N）：远程网络攻击
  • 攻击复杂度（AC:L）：低，无需特殊条件
  • 权限要求（PR:N）：无需提前认证
  • 用户交互（UI:R）：需要用户点击或访问恶意页面
  • 影响范围（S:C）：已变更（从沙箱逃逸到系统级）
  • 机密性/完整性/可用性（C:H/I:H/A:H）：均为高影响

建议：所有 Chrome 用户应立即更新至 151.0.7922.72 或更高版本，以修复此高危漏洞。由于该漏洞需要结合渲染进程攻陷才能利用，但一旦成功则后果严重，因此属于需要优先修复的安全问题。

🔍 技术细节

字段 值
CVE ID CVE-2026-17675
CVSS 评分 9.6 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-787
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接