CVE-2025-14174

Falha de acesso a memória fora dos limites (out-of-bounds) na ANGLE, a camada que o Chrome usa para traduzir chamadas WebGL/OpenGL ES para as APIs gráficas nativas do sistema — no caso, Metal no macOS. Afeta apenas a build de Chrome (e navegadores baseados em Chromium) para Mac, e a Google confirma exploração ativa antes da correção, o que a colocou no catálogo KEV da CISA com prazo de mitigação até 2026-01-02.

A ANGLE (Almost Native Graphics Layer Engine) é o componente do Chromium que recebe comandos WebGL/WebGPU/Canvas 2D vindos de JavaScript e os traduz para a API gráfica nativa da plataforma — Direct3D no Windows, Vulkan/OpenGL no Linux, Metal no macOS. A descrição oficial do Google fala em 'out of bounds memory access', o que tipicamente mapeia para CWE-125 (leitura fora dos limites) ou CWE-787 (escrita fora dos limites), sem o fornecedor especificar qual dos dois neste caso.

O fato de o boletim classificar o bug como específico do Mac sugere que o problema está no caminho de tradução ANGLE-para-Metal, e não na lógica genérica compartilhada com Windows/Linux — embora o Google não tenha detalhado o commit ou a rotina exata, mantendo a issue no Chromium restrita (issue 466192044 ainda sem conteúdo público completo).

O atacante controla o conteúdo de uma página HTML, incluindo shaders, buffers, texturas ou parâmetros de chamadas WebGL que são processados pela ANGLE. Um cálculo de índice ou tamanho incorreto nesse pipeline permite que a engine acesse memória adjacente ao buffer esperado — o que pode ser usado para ler dados sensíveis do processo de renderização ou corromper estruturas de heap, dependendo de como o índice/offset controlado pelo atacante é usado.

O reporte foi feito conjuntamente pela Apple Security Engineering and Architecture (SEAR) e pelo Google Threat Analysis Group (TAG) — combinação típica de casos onde a exploração já foi observada em campanhas reais antes da correção, e não apenas em teste de fuzzing interno.

O vetor é uma página HTML maliciosa que a vítima precisa visitar — não há indicação de exploração sem interação do usuário (o CVSS marca UI:R, interação requerida). Não é necessária autenticação, configuração não padrão do Chrome, nem flags experimentais: o WebGL é habilitado por padrão em qualquer instalação. O pré-requisito real é rodar Chrome (ou outro navegador baseado em Chromium) em macOS numa versão anterior à corrigida.

A cadeia de exploração normalmente envolve JavaScript que aciona chamadas WebGL/Canvas cuidadosamente construídas para forçar a ANGLE a calcular um índice ou tamanho de buffer incorreto, gerando o acesso fora dos limites. Dependendo do que é lido ou sobrescrito, isso pode servir para leak de memória (bypass de ASLR, por exemplo) ou como primitiva de corrupção de heap dentro do processo de renderização — geralmente o primeiro elo de uma cadeia maior que inclui um escape de sandbox para ter impacto total de execução de código, já que o CVSS reporta C:H/I:H/A:H mas o bug isolado normalmente concede controle dentro do renderer.

A presença no catálogo KEV confirma exploração in-the-wild antes da correção, reportada pela combinação Apple SEAR + Google TAG — perfil associado historicamente a campanhas de spyware direcionado usando cadeias de zero-day/n-day em navegador. Não há PoC público detalhado nas fontes revisadas, apesar de o problema já constar como tendo PoC pública no catálogo de referência informado; a issue no Chromium (466192044) permanece com acesso restrito ao conteúdo técnico completo.

Atualizar para a versão fixa é a única mitigação real: Chrome 143.0.7499.110 no macOS (o Chrome release resolve o mesmo ciclo com 143.0.7499.109/.110 para Windows/Mac e 143.0.7499.109 para Linux, mas a descrição oficial do CVE trata especificamente do Mac). Verificar a versão em chrome://settings/help e confirmar atualização automática.

Como o bug está no pipeline WebGL/ANGLE, desabilitar WebGL (via política de navegador ou flag) reduz a superfície de ataque como controle compensatório temporário, ao custo de quebrar sites e aplicações que dependem de renderização 3D/aceleração gráfica no navegador — mitigação de disponibilidade, não elegante, mas real enquanto a atualização não é aplicada em ambientes gerenciados.

Para Microsoft Edge e outros navegadores Chromium, a CISA nota que o problema pode afetar múltiplos produtos derivados do Chromium, mas as notas de release do Edge revisadas nesta pesquisa não listam explicitamente CVE-2025-14174 — não é possível confirmar aqui a versão de correção específica do Edge; trate como pendente de verificação no Security Update Guide da Microsoft antes de declarar ambiente Edge como corrigido. Não existe mitigação via WAF ou controle de rede, já que o vetor é client-side dentro do processo de renderização do navegador.

Não há assinatura de rede confiável: o vetor é conteúdo HTML/JavaScript renderizado localmente, sem payload identificável em trânsito antes da execução. Em endpoints, crashes do processo de renderização do Chrome (renderer) associados a GPU/ANGLE/WebGL nos logs de crash do sistema ou no chrome://crashes, especialmente correlacionados com visitas a domínios recém-registrados ou suspeitos, são o sinal mais próximo disponível — mas não são exclusivos desta CVE.

Como o Google e a Apple TAG identificaram exploração via telemetria própria e não divulgaram indicadores técnicos (hashes, domínios, artefatos) nas fontes revisadas, times de SOC devem tratar a ausência de detecção confiável como o dado relevante: a prioridade operacional é a atualização e o rastreamento de versões vulneráveis na frota, não a busca por IOCs específicos.