Chrome重大安全漏洞 惡意擴充功能藉Gemini面板提升權限 用戶需立即升級

Google Chrome瀏覽器爆發重大安全漏洞，編號為CVE-2025-628，該漏洞允許惡意擴充功能透過Gemini Live面板非法提升權限，在未經用戶同意的情況下竊取攝影機、麥克風控制權，並能截取螢幕畫面與存取本機檔案。資安機構GoPlus於3月3日發布緊急警報指出，此漏洞影響全球數十億Chrome用戶，Google雖已在2025年1月初完成修復，但用戶必須手動升級至143.0.7499.192以上版本才能獲得保護。專家強調，這是近年來Chrome最嚴重的權限繞過漏洞之一，建議所有用戶立即檢查瀏覽器版本並完成更新，同時審查已安裝的擴充功能清單，移除來源不明的元件。

漏洞技術細節與影響範圍

根據GoPlus發布的安全報告，CVE-2025-628漏洞的核心問題在於Chrome瀏覽器的權限驗證機制存在設計缺陷，特別是與Gemini Live面板的整合過程中未能正確隔離擴充功能的執行權限。攻擊者可開發看似正常的擴充功能，在使用者安裝後，透過調用Gemini AI介面的特定API，繞過Chrome原有的權限沙盒限制，將原本僅限於網頁操作的低權限狀態，提升至可存取系統核心資源的高權限等級。

此漏洞造成的實際危害極為嚴重。成功利用此漏洞的惡意程式能夠在背景靜默執行，無需使用者點擊任何授權視窗，即可直接啟動電腦的攝影機與麥克風進行錄影錄音，嚴重侵犯個人隱私。此外，攻擊者還能任意截取使用者螢幕畫面，竊取正在瀏覽的敏感資訊，包括銀行帳號、密碼、商業機密等。更危險的是，漏洞允許擴充功能讀取本機檔案系統，這意味著儲存在電腦中的個人文件、照片、憑證等資料都可能被竊取。

受影響的系統涵蓋所有主流作業平台，包括Windows、macOS與Linux版本。Google官方確認，從Chrome 120版本開始引入Gemini Live功能後，直到143.0.7499.191之前的所有版本都存在此漏洞。由於Gemini AI助理已深度整合至Chrome瀏覽器，成為預設啟用的功能，這使得絕大多數用戶都暴露在風險之中，除非用戶手動停用Gemini或升級至安全版本。

惡意擴充功能運作機制與攻擊情境

資安專家分析指出，此漏洞的攻擊鏈相當精巧且難以防範。攻擊者首先會將惡意程式碼包裝成看似實用的擴充功能，例如偽裝成翻譯工具、PDF閱讀器或生產力助理，並透過社交工程手法誘騙使用者安裝。由於Chrome線上應用程式商店雖有審核機制，但此漏洞利用的是瀏覽器底層邏輯錯誤，而非擴充功能本身的惡意行為，因此可能逃過自動化檢測。

一旦安裝完成，惡意擴充功能會在背景監測使用者的瀏覽行為。當使用者開啟Gemini Live面板進行AI對話時，擴充功能會注入精心設計的指令，利用競爭條件（Race Condition）與權限檢查的時間差，在Chrome切換Gemini介面的瞬間攔截並竄改權限請求。這種攻擊方式類似於權限提升攻擊（Privilege Escalation），但發生在瀏覽器內部，傳統的防毒軟體難以偵測。

更棘手的是，此攻擊完全在使用者無感知的情況下進行。Chrome通常會在擴充功能需要敏感權限時跳出明確的授權對話框，但透過此漏洞，惡意程式能跳過所有視覺提示。使用者可能正在正常瀏覽網頁，而背景卻已被秘密錄影或螢幕截圖。資安團隊警告，這種零點擊攻擊（Zero-Click Attack）特性使其成為間諜活動與商業竊密的理想工具，對企業用戶與高風險個人構成嚴重威脅。

Google修復時程與版本更新細節

Google在接獲資安研究人員通報後，於2024年底展開緊急調查，並在2025年1月6日釋出的Chrome 143.0.7499.192版本中完成核心修復。隨後在1月7日與1月8日，分別釋出143.0.7499.193與143.0.7499.194等微幅更新，進一步強化漏洞修補的完整性。Linux版本則統一使用143.0.7499.192作為修復基準版本。

值得注意的是，Google採用分階段推送策略，這意味著即使用戶開啟自動更新，也可能因為地區與伺服器排程差異，未能立即收到更新通知。根據Chrome更新機制，瀏覽器通常會在背景自動下載更新，但需要重新啟動才會套用。許多使用者習慣長期不關閉瀏覽器，導致實際上仍在執行存在漏洞的版本。資安專家建議，使用者應主動檢查版本號，而非依賴自動更新機制。

此外，Google也同步更新了Chrome Extended Stable頻道與Beta頻道的版本，確保企業用戶與測試人員也能獲得保護。對於無法立即升級的企業環境，Google提供臨時緩解方案，可透過群組原則停用Gemini Live功能，或限制擴充功能的安裝來源。然而，專家認為這些措施僅是過渡性做法，完整升級才是根本解決之道。

用戶自主防護措施與安全建議

對於一般使用者，立即採取行動至關重要。首先，檢查Chrome版本的方法為：點擊右上角三點選單，選擇「說明」→「關於Google Chrome」，瀏覽器會自動顯示版本號並檢查更新。若版本低於143.0.7499.192，應立即點擊更新並重新啟動瀏覽器。特別是macOS與Linux用戶，常因系統套件管理器的更新延遲而忽略瀏覽器本身的版本，務必直接透過Chrome內建機制更新。

其次，全面審查已安裝的擴充功能。進入「chrome://extensions/」頁面，仔細檢視每個元件的權限請求。若發現有擴充功能要求不合理的廣泛權限，例如「讀取與變更您造訪的所有網站資料」或「管理下載項目」，應立即停用或移除。特別是非官方商店來源的擴充功能，即使來自開發者網站，也應提高警覺。建議只保留來自知名開發商、評價良好且確實需要的工具。

進階用戶可考慮啟用Chrome的強化安全瀏覽模式，此功能可即時檢查擴充功能的行為，並在發現可疑活動時發出警告。企業IT管理員則應透過Google管理控制台，強制所有公司裝置升級至安全版本，並部署擴充功能白名單政策。此外，建議定期清理瀏覽器快取與Cookie，避免惡意程式透過持久性儲存機制維持存取權限。

資安產業觀點與長期影響評估

GoPlus研究團隊指出，CVE-2025-628漏洞凸顯了AI功能整合所帶來的新型安全挑戰。隨著瀏覽器從單純的網頁檢視器轉變為多功能平台，AI助理、擴充功能與系統資源的交互作用創造了更廣大的攻擊面。傳統的沙盒隔離模型在面對複雜的權限委派時，可能出現意想不到的邊界案例，這需要瀏覽器開發者重新檢視架構設計。

歷史數據顯示，Chrome擴充功能一直是攻擊者的熱門目標。2023年的CVE-2023-2033漏洞同樣涉及權限繞過，但影響範圍僅限於資料竊取。相較之下，CVE-2025-628能直接控制硬體設備，嚴重性更高。資安專家呼籲Google應建立更嚴格的擴充功能審查流程，特別是對於涉及AI介面的元件，應實施靜態程式碼分析與動態行為監控的雙重檢查機制。

此事件也引發對瀏覽器自動更新政策的討論。雖然Google宣稱多數用戶會在數日內自動更新，但實際統計顯示，約有15%的用戶在一週後仍執行舊版本，這些使用者成為持續的攻擊目標。資安社群建議，對於關鍵安全更新，瀏覽器應採取更積極的強制更新策略，或在用戶開啟瀏覽器時明確提示風險。長遠來看，此漏洞將推動瀏覽器產業制定更嚴格的AI功能安全標準，確保創新不會以犧牲用戶安全為代價。