CVE-2025-6558highbajo ataqueCWE-20

CVE-2025-6558: fallo de gravedad alta en Google Chrome

Publicada el · Actualizada el

76Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 11%
de la publicación al arma7 días
Publicada en NVD15 jul
1ª PoC+7d
CISA KEV+7d
probabilidad de explotación
11%top 4% de las CVE
explotación observada
síCISA + VulnCheck
3 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (4 componentes)
Red Hat Enterprise Linux 6
workaround: Do not visit untrusted websites. Also, do not process or load untrusted web content with WebKitGTK. In Red Hat Enterprise Linux 7, the following packages require WebKitGTK4: evolution-data-server, glade, gnome-boxes, gnome-initial-setup…
Corregido
15 productos (436 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream E4S (v.8.6) · Red Hat Enterprise Linux AppStream E4S (v.9.0) · Red Hat Enterprise Linux AppStream E4S (v.9.2) · y otros 10
corrección ↗
No afectado
4 productos (21 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 9 · Red Hat Enterprise Linux 10
Acción exigida por CISAplazo federal: 2025-08-12

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Chrome tenía una falla donde no validaba correctamente datos de sitios web, permitiendo que un atacante creara una página maliciosa para salir de la sandbox de seguridad. Esto es grave porque podría dar acceso a archivos y programas de tu computadora.

Detalle técnico

Validación insuficiente de entrada en ANGLE y GPU permitía ejecución remota de código con escape de sandbox mediante HTML manipulado. El ataque requiere interacción del usuario (visitar página maliciosa); la explotación exitosa eludiría el aislamiento de sandbox de Chrome, otorgando potencialmente acceso a recursos del sistema más allá del proceso del navegador.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Insufficient validation of untrusted input in ANGLE and GPU in Google Chrome prior to 138.0.7204.157 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Google · Chrome
PoCs públicas encontradas — 3
githubgithub.com/DevBuiHieu/CVE-2025-6558-Proof-Of-Concept★ 7githubgithub.com/gmh5225/CVE-2025-6558-exp★ 1vulncheckvulncheck.com/xdb/04497c8079e3no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Google Chrome

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-4863HIGHCVE-2023-4863EPSS 100.0%KEVCVE-2018-17463HIGHCVE-2018-17463EPSS 84.6%KEVCVE-2021-21224HIGHCVE-2021-21224EPSS 84.2%KEVCVE-2020-6418HIGHCVE-2020-6418EPSS 78.8%KEVCVE-2022-2294HIGHCVE-2022-2294EPSS 70.8%KEVCVE-2021-21220HIGHCVE-2021-21220EPSS 70.4%KEV
Referencias
https://chromereleases.googleblog.com/2025/07/stable-channel-update-for-desktop_15.htmlhttp://seclists.org/fulldisclosure/2025/Aug/0http://seclists.org/fulldisclosure/2025/Jul/30http://seclists.org/fulldisclosure/2025/Jul/32http://seclists.org/fulldisclosure/2025/Jul/35http://seclists.org/fulldisclosure/2025/Jul/37https://issues.chromium.org/issues/427162086https://lists.debian.org/debian-lts-announce/2025/08/msg00015.htmlhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-6558http://www.openwall.com/lists/oss-security/2025/08/02/1http://www.openwall.com/lists/oss-security/2026/09/30/18