Saldırının Genel Çerçevesi
Google Chrome’un 143.0.7499.192 öncesi sürümlerinde, WebView bileşeninde bulunan yetersiz politika uygulaması (CVE-2026-0628) kötü amaçlı uzantıların Gemini Live paneli üzerinden yetki yükseltmesine imkan tanıyordu. Bu açık, saldırganların kullanıcıları özel hazırlanmış bir uzantı yüklemeye ikna etmesiyle başlıyor ve uzantının Gemini paneline rastgele JavaScript kodu enjekte etmesine olanak sağlıyor. Böylece saldırganlar, kurbanın kamera ve mikrofonuna erişim, ekran görüntüsü alma ve yerel dosyalara erişim gibi kritik ayrıcalıklar elde edebiliyordu.
Gemini Live paneli, Chrome araç çubuğunda bulunan Gemini simgesiyle açılan ve “chrome://glic” URL’si üzerinden “gemini.google[.]com” web uygulamasını WebView bileşeni içinde yükleyen yeni bir yan paneldir. Google, Eylül 2025’te bu entegrasyonu Chrome’a eklemiştir.
Saldırı Zinciri ve Teknik Detaylar
Açığın temelinde WebView bileşeninin declarativeNetRequest API kurallarını uygulamaması yatıyor. Bu durum, kötü amaçlı uzantıların Gemini paneline JavaScript kodu enjekte etmesine ve böylece tarayıcı paneli içinde rastgele kod çalıştırmasına izin veriyordu. DeclarativeNetRequest API, genellikle reklam engelleme gibi amaçlarla HTTPS isteklerini filtrelemek için kullanılırken, bu zafiyet Chrome’un güvenlik modelini zayıflatmaktadır.
Unit 42 araştırmacısı Gal Weizman tarafından keşfedilen bu açık, yapay zeka destekli ajanların gerçek zamanlı içerik özetleme ve otomatik görev yürütme yeteneklerinin tarayıcı ortamında ayrıcalıklı erişim gerektirmesinden kaynaklanan yeni bir saldırı vektörünü ortaya koymaktadır. Saldırganlar, sosyal mühendislik yöntemleriyle kullanıcıları kandırarak bu uzantıyı yükletmekte ve Gemini paneli üzerinden hassas verilere erişim sağlamaktadır.
Siber Güvenlik Ekipleri İçin Öneriler
- Chrome sürümünüzü 143.0.7499.192 ve üzeri ile güncel tutun.
- Tarayıcı uzantılarının izinlerini düzenli olarak gözden geçirin ve gereksiz izinleri kaldırın.
- DeclarativeNetRequest API kullanımını izleyerek anormal filtreleme kurallarını tespit edin.
- WebView bileşenlerinin güvenlik politikalarını sıkılaştırarak yetkisiz kod enjeksiyonlarını engelleyin.
- EDR ve SIEM sistemlerinde Gemini paneli ve WebView ile ilgili anormal davranışları izleyin.
- Kullanıcıları bilinçlendirmek için e-posta güvenliği ve sosyal mühendislik saldırılarına karşı eğitimler düzenleyin.
- Zero Trust prensipleri doğrultusunda tarayıcı ve uzantı erişimlerini segmentlere ayırarak sınırlandırın.
- Olay müdahale planlarınızda tarayıcı kaynaklı ayrıcalık yükseltme saldırılarını da dahil edin.
Kurumsal Ortamlarda Olası Senaryo
Bir finans kurumunda çalışan kullanıcı, sosyal mühendislik yoluyla kötü amaçlı bir Chrome uzantısı yüklemeye ikna edilir. Bu uzantı, Gemini Live paneline zararlı JavaScript kodu enjekte ederek kullanıcının mikrofon ve kamerasını açar, ekran görüntüsü alır ve kurumun hassas finansal verilerine erişim sağlar. Bu durum, kurumun veri sızıntısı yaşamasına ve regülasyon ihlallerine yol açabilir. Bu tür saldırılar, bulut güvenliği ve ağ segmentasyonu stratejilerinin yetersiz olduğu ortamlarda daha da kritik hale gelir.
Teknik Özet
- Zafiyet: CVE-2026-0628 – WebView bileşeninde declarativeNetRequest politika uygulanmaması
- Hedefler: Chrome kullanıcıları, özellikle Gemini Live panelini kullananlar
- Saldırı Zinciri: Sosyal mühendislik ile kötü amaçlı uzantı kurulumu → Gemini paneline JavaScript enjeksiyonu → Yetki yükseltme → Kamera, mikrofon, dosya sistemi erişimi
- Önerilen Savunma: Güncelleme uygulama, izin yönetimi, EDR ve SIEM ile anomali tespiti, Zero Trust erişim kontrolü