Google ha publicado una nueva actualización de seguridad de emergencia de Chrome para reparar una vulnerabilidad de día cero etiquetada como ataques explotados.
«Google es consciente de que existe un exploit para CVE-2024-7971», dijo la compañía en un aviso publicado el miércoles.
Esta vulnerabilidad de día cero de alta gravedad está causada por una debilidad de confusión de tipos en el motor de JavaScript V8 de Chrome. Los investigadores de seguridad del Centro de Inteligencia de Amenazas de Microsoft (MSTIC) y el Centro de Respuesta de Seguridad de Microsoft (MSRC) lo informaron el lunes.
Aunque estos fallos de seguridad pueden permitir comúnmente a los atacantes provocar bloqueos del navegador después de que los datos asignados a la memoria se interpreten como un tipo diferente, también pueden explotarlos para la ejecución de código arbitrario en dispositivos específicos que ejecuten navegadores sin parches.
Google ha solucionado el problema de día cero con el lanzamiento de 128.0.6613.84/.85 para Windows/macOS y 128.0.6613.84 (Linux), versiones que se implementarán para todos los usuarios en el canal Stable Desktop en las próximas semanas.
Si bien Chrome se actualiza automáticamente cuando hay parches de seguridad disponibles, los usuarios también pueden acelerar el proceso yendo al menú de Chrome > Ayuda > Acerca de Google Chrome, dejando que la actualización finalice y haciendo clic en el botón «Relanzar» para instalarla.
Aunque Google confirmó que la vulnerabilidad CVE-2024-7971 se utilizó en los ataques, la empresa aún no ha compartido información adicional sobre la explotación en la naturaleza.
CVE-2024-7971 es el noveno día cero de Chrome explotado activamente y parcheado por Google en 2024. La lista completa de días cero solucionados este año incluye:
CVE-2024-0519: una debilidad de acceso a memoria fuera de límites de alta gravedad dentro del motor JavaScript de Chrome V8, que permite a atacantes remotos explotar la corrupción del montón a través de una página HTML especialmente diseñada, lo que lleva al acceso no autorizado a información confidencial.
CVE-2024-2887: una falla de confusión de tipos de alta gravedad en el estándar WebAssembly (Wasm). Podría llevar a exploits de ejecución de código remoto (RCE) que aprovechen una página HTML diseñada.
CVE-2024-2886: una vulnerabilidad de uso después de la liberación en la API WebCodecs utilizada por aplicaciones web para codificar y decodificar audio y video. Los atacantes remotos lo explotaron para realizar lecturas y escrituras arbitrarias a través de páginas HTML diseñadas, lo que llevó a la ejecución remota de código.
CVE-2024-3159: Una vulnerabilidad de alta gravedad causada por una lectura fuera de límites en el motor de JavaScript V8 de Chrome. Los atacantes remotos explotaron esta falla utilizando páginas HTML especialmente diseñadas para acceder a datos más allá del búfer de memoria asignado, lo que resultó en una corrupción del montón que podría aprovecharse para extraer información confidencial.
CVE-2024-4671: Una falla de uso después de la liberación de alta gravedad en el componente Visuals que maneja la representación y visualización de contenido en el navegador.
CVE-2024-4761: Un problema de escritura fuera de límites en el motor de JavaScript V8 de Chrome, que es responsable de ejecutar código JS en la aplicación.
CVE-2024-4947: Debilidad de confusión de tipos en el motor de JavaScript V8 de Chrome que permite la ejecución de código arbitrario en el dispositivo de destino.
CVE-2024-5274: Una confusión de tipos en el motor JavaScript V8 de Chrome que puede provocar fallas, corrupción de datos o ejecución de código arbitrario.