Google ha lanzado actualizaciones de seguridad de emergencia para el navegador Chrome para abordar una vulnerabilidad de día cero de alta gravedad etiquetada como explotada en ataques.
Esta solución llega solo tres días después de que Google abordara otra vulnerabilidad de día cero en Chrome, CVE-2024-4671, causada por una debilidad de uso después de la liberación en el componente Visuals.
El último error se rastrea como CVE-2024-4761. Es un problema de escritura fuera de límites que afecta al motor JavaScript V8 de Chrome, que es responsable de ejecutar el código JS en la aplicación.
Los problemas de escritura fuera de límites ocurren cuando a un programa se le permite escribir datos fuera de la matriz o búfer especificado, lo que puede provocar acceso no autorizado a datos, ejecución de código arbitrario o fallas del programa.
«Google es consciente de que existe un exploit para CVE-2024-4761», se lee en el aviso.
La empresa solucionó el fallo de seguridad con el lanzamiento de 124.0.6367.207/.208 para Mac/Windows y 124.0.6367.207 para Linux. Las actualizaciones se implementarán para todos los usuarios durante los próximos días/semanas.
Para los usuarios del canal «Estable extendido», las correcciones estarán disponibles en la versión 124.0.6367.207 para Mac y Windows.
Chrome se actualiza automáticamente cuando hay una actualización de seguridad disponible, pero los usuarios pueden confirmar que están ejecutando la última versión yendo a Configuración > Acerca de Chrome, dejando que finalice la actualización y luego haciendo clic en el botón «Reiniciar» para aplicarla.
Esta última vulnerabilidad de Google Chrome es el sexto error de día cero descubierto y solucionado en el popular navegador web desde principios de año.
La compañía señala que un investigador anónimo informó sobre la falla el 9 de mayo de 2024, pero no se han revelado más detalles en este momento.
Las fallas de día cero de Chrome solucionadas en 2024 hasta ahora incluyen:
CVE-2024-0519: Una debilidad de acceso a memoria fuera de límites de alta gravedad dentro del motor JavaScript Chrome V8, que permite a atacantes remotos explotar la corrupción del montón a través de una página HTML especialmente diseñada, lo que conduce a un acceso no autorizado a información confidencial.
CVE-2024-2887: una falla de confusión de tipos de alta gravedad en el estándar WebAssembly (Wasm). Podría dar lugar a vulnerabilidades de ejecución remota de código (RCE) aprovechando una página HTML diseñada.
CVE-2024-2886: una vulnerabilidad de uso después de la liberación en la API WebCodecs utilizada por aplicaciones web para codificar y decodificar audio y video. Los atacantes remotos lo aprovecharon para realizar lecturas y escrituras arbitrarias a través de páginas HTML diseñadas, lo que llevó a la ejecución remota de código.
CVE-2024-3159: una vulnerabilidad de alta gravedad causada por una lectura fuera de límites en el motor JavaScript Chrome V8. Los atacantes remotos explotaron esta falla utilizando páginas HTML especialmente diseñadas para acceder a datos más allá del búfer de memoria asignado, lo que resultó en una corrupción del montón que podría aprovecharse para extraer información confidencial.
CVE-2024-4671: una falla de uso después de la liberación de alta gravedad en el componente Visuals que maneja la representación y visualización del contenido en el navegador.