CVE-2026-9987 CVSS 7.8 高危

CVE-2026-9987 Chrome on Android本地代码执行漏洞

披露日期: 2026-05-28

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-9987

漏洞类型

任意代码执行

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Google Chrome on Android

漏洞概述

CVE-2026-9987是Google Chrome on Android浏览器中发现的高危安全漏洞。该漏洞的根源在于WebAppInstalls功能对未受信任的输入数据缺乏充分的验证机制。在受影响版本（早于148.0.7778.216）中，本地攻击者可利用此缺陷，通过构造特定的恶意文件并诱导用户进行交互，最终在Android设备上执行任意代码。此漏洞可能导致攻击者完全控制受影响系统，对数据的机密性、完整性和服务可用性造成严重威胁。

技术细节

该漏洞属于典型的输入验证缺失类漏洞，具体发生于Android版Chrome的WebAppInstalls模块。攻击向量为本地（AV:L），意味着攻击者需要物理接触设备或已具备某种程度的本地访问权限。由于CVSS向量显示无需权限（PR:N）但需要用户交互（UI:R），攻击流程通常涉及制作一个特制的恶意文件（如HTML或特定格式文件），并诱导受害者打开或安装。当用户触发该恶意文件时，Chrome未能正确过滤文件内容中的特殊字符或指令，导致缓冲区溢出或逻辑错误，进而劫持程序执行流。由于Chrome在Android上的沙箱机制可能存在配置不当或被绕过，攻击者可借此跳出限制，执行任意Shell命令或恶意代码。这表明在处理Web应用安装相关的数据流时，安全边界检查存在疏漏，允许恶意输入被当作可执行指令处理。

攻击链分析

STEP 1

1. 恶意文件制作

攻击者针对WebAppInstalls组件的验证机制缺陷，制作包含恶意 payload 的文件（如特制的HTML或Manifest文件）。

STEP 2

2. 文本传输

由于是本地攻击向量，攻击者需要将恶意文件传输到目标Android设备（例如通过下载、USB传输或消息应用）。

STEP 3

3. 诱导用户交互

攻击者诱导用户在Chrome浏览器中打开该文件或触发Web应用安装流程，满足UI:R（需要用户交互）的条件。

STEP 4

4. 触发漏洞

Chrome处理未受信任的输入时未能进行充分验证，导致内存破坏或逻辑绕过。

STEP 5

5. 执行任意代码

攻击者成功利用漏洞，在设备上下文中执行任意代码，获取高权限控制。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-9987: WebAppInstalls Insufficient Validation -->
<!-- This PoC demonstrates a potential trigger for the vulnerability -->
<!DOCTYPE html>
<html>
<head>
    <title>CVE-2026-9987 PoC</title>
    <!-- Attempt to load a malicious manifest -->
    <link rel="manifest" href="malicious_manifest.json">
</head>
<body>
    <h1>Chrome WebApp Install PoC</h1>
    <script>
        // Script to potentially trigger the install prompt or handling
        window.addEventListener('beforeinstallprompt', (e) => {
            console.log('Install prompt triggered due to insufficient validation');
            // In a real exploit, malicious payload is executed here
            e.prompt();
        });
    </script>
</body>
</html>

影响范围

Google Chrome on Android < 148.0.7778.216

防御指南

临时缓解措施

建议用户立即检查并更新Android系统上的Google Chrome浏览器至最新版本。在尚未完成更新前，应谨慎对待来源不明的文件和链接，不要随意点击安装未知的Web应用程序，以降低被本地攻击者利用的风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表