事件背景与影响
近日，Google 正式发布了 Chrome 151 版本更新，针对 Windows、macOS 及 Linux 平台修复了多达 370 个安全漏洞。此次更新规模庞大，不仅涵盖了从低危到高危的各类缺陷，更包含了 7 个被评估为“关键（Critical）”级别的漏洞。从我们的应急响应经验来看，浏览器作为企业办公和互联网访问的核心入口，一直是攻击者重点关注的“靶点”。此次更新覆盖了 Compositing、Views、Skia 等多个核心渲染及显示组件，一旦被恶意利用，攻击者可能通过构造特殊的恶意网页实现代码执行或权限提升。
关键漏洞技术分析
此次披露的 7 个关键漏洞主要集中在内存管理与输入验证领域。其中，Use-after-free（释放后重用）类漏洞占据了半壁江山，分别出现在 Compositing、Views、Skia 和 Ozone 等组件中。这类漏洞本质上是程序在释放内存后未能正确清理引用，导致攻击者可以通过精心构造的恶意代码重新控制该内存块，进而触发任意代码执行。
此外，Dawn 和 ANGLE 组件中存在的“对不可信输入验证不足”问题同样不容忽视。ANGLE 作为处理 3D 图形渲染的关键引擎，其输入验证缺失可能导致图形驱动层面的异常。同时，Updater 组件中发现的竞争条件（Race Condition）漏洞，则可能被攻击者利用在更新过程中进行恶意篡改。这些技术手法在近年来的浏览器漏洞挖掘中表现得非常典型，攻击者往往利用这些底层组件的逻辑缺陷，绕过浏览器的沙箱防御机制。
为什么这一环节容易被忽视
在 Solar 的日常安全审计中，我们发现很多企业在资产管理上存在“盲区”。大多数企业对服务器和核心业务系统的补丁管理较为严格，但对于员工终端浏览器这类“非业务系统”的更新往往采取放任态度。这一环节是很多企业容易忽视的，认为浏览器版本更新属于个人行为，却忽略了浏览器作为终端防线中最薄弱的一环，往往是攻击者进行横向渗透和权限维持的首选入口。
Solar 安全建议
针对此次 Chrome 漏洞事件，我们建议各企业采取以下应急措施：
首先，立即开展终端资产盘点，强制要求所有办公终端将 Chrome 浏览器更新至 151.0.7922.71 或更高版本，确保补丁生效。其次，利用终端管理工具（如 EDR 或自动化运维系统）对全网浏览器版本进行扫描，识别并修复未及时更新的“僵尸”客户端。
类似攻击近年来明显增加，攻击者利用公开漏洞进行批量化扫描的频率极高。建议安全团队在日常工作中，将浏览器补丁纳入关键漏洞管理流程，避免因单一终端失陷而导致整个办公内网暴露在风险之中。同时，建议开启浏览器的自动更新功能，并对高风险岗位实施更严格的网页访问管控策略。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com