Google parcheó dos fallas más de día cero en el navegador web Chrome para escritorio, convirtiéndolo en la cuarta y quinta vulnerabilidades explotadas activamente por el gigante de la búsqueda en las últimas semanas.
La compañía publicó 86.0.4240.198 para Windows, Mac, y Linux, que dijo que se desplegará en los próximos días/semanas a todos los usuarios.
Rastreadas como CVE-2020-16013 y CVE-2020-16017, las fallas fueron descubiertas y reportadas a Google por fuentes «anónimas», a diferencia de casos anteriores, que fueron descubiertos por el equipo de seguridad de élite del Proyecto Cero de la compañía.
Google reconoció que los exploits para ambas vulnerabilidades existen en estado salvaje, pero no llegó a compartir más detalles para permitir que la mayoría de los usuarios instalaran las correcciones.
De acuerdo con las notas de la versión, las dos fallas son:
CVE-2020-16013: Una «implementación inapropiada» de su motor de renderizado de JavaScript V8 fue reportada el 9 de noviembre.
CVE-2020-16017: Un problema de corrupción de memoria sin uso en la característica de aislamiento del sitio de Chrome fue reportado el 7 de noviembre.
Cabe destacar que el día cero que parcheó la semana pasada, CVE-2020-16009, también se refería a una implementación inapropiada de V8, lo que llevó a la ejecución remota de código. No está claro inmediatamente si los dos fallos están relacionados.
Durante la semana pasada, Google reveló un número de fallas de día cero explotadas activamente que apuntaban a Chrome, Windows, y el iOS y el macOS de Apple, y aunque parece que algunos de estos problemas se unieron para formar una cadena de explotación, la compañía aún no ha revelado detalles clave sobre quiénes pueden haber estado usándolos y quiénes eran los objetivos previstos.
Se aconseja que los usuarios actualicen sus dispositivos a la última versión de Chrome para mitigar el riesgo asociado a los dos fallos.
Con información de: SoftZone.