Chrome Gemini 缺陷讓惡意擴充套件權限提升

🔑 增強重點摘要

• •漏洞被追蹤為 CVE-2026-0628，由 Palo Alto Networks Unit 42 研究員 Gal Weizman 於 2025 年 11 月 23 日發現並報告[1][2][3]。
• •利用 declarativeNetRequest API 的基本權限，惡意擴充套件可注入 JavaScript 程式碼至 chrome://glic URL 的 WebView 元件，從而劫持 Gemini Live 面板[2][3]。
• •Google 已於 2026 年 1 月初發布修補程式，漏洞於 2025 年 10 月 23 日負責揭露後修復[1][3]。
• •攻擊可實現無需使用者同意存取攝像頭、麥克風、擷取 HTTPS 網站截圖，並執行網路釣魚攻擊[1][2][3]。

🛠️ 技術深入

• •Gemini Live 面板使用 'chrome://glic' URL 透過 WebView 元件載入 'gemini.google.com' 網頁應用程式，提供存取本地檔案、截圖、攝像頭及麥克風等強大功能[2][3]。
• •惡意擴充套件利用 declarativeNetRequest API 攔截並注入 JavaScript 至面板內，繞過一般分頁限制，獲得提升權限執行任意程式碼[2][3]。
• •面板為受信任的瀏覽器元件，注入程式碼後可無需額外使用者同意執行 AI 助理所需的高權限操作，如檔案系統存取及隱私功能[1][3]。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線