Se ha solucionado una vulnerabilidad que afectaba a los navegadores Safari, Firefox y Chrome desde hace más de 18 años. Esta vulnerabilidad fue descubierta por el equipo de investigación de Oligo Security, quien confirmó que seguía activa.
Vulnerabilidad bautizada como «0.0.0.0 Day»
La vulnerabilidad se conoce como «0.0.0.0 Day», y permite a los sitios web maliciosos eludir la seguridad del navegador e interactuar con servicios que se ejecutan en la red local de una organización. Esto facilita que los atacantes accedan sin autorización a servicios locales fuera de la red para realizar ataques contra los sistemas.
Aumento del uso de la IP 0.0.0.0
Según los contadores de Chromium, el porcentaje de sitios web que se comunican con la dirección IP 0.0.0.0 ha aumentado. Estas páginas podrían ser maliciosas y actualmente representan un 0,015 % de todos los sitios web en internet. Con aproximadamente 200 millones de sitios web a partir de agosto de 2024, se estima que unos 100.000 sitios web públicos se comunican con esta dirección.
¿Cómo funciona la vulnerabilidad?
La IP 0.0.0.0 es una dirección utilizada por los navegadores en algunos casos, como cuando no se ha asignado aún una dirección IP real del dispositivo y de la red. Los atacantes han estado aprovechando esta vulnerabilidad para acceder a servicios locales y ejecutar códigos maliciosos.
Impacto de la vulnerabilidad
Oligo Security afirma que se trata de una vulnerabilidad de largo alcance, afectando tanto a organizaciones como a usuarios particulares. Los navegadores afectados son Chromium/Chrome (Google), Firefox (Mozilla) y Safari (Apple). Solo afecta a dos sistemas operativos: macOS y Linux.
Acciones de las empresas
Apple, Google y Mozilla han confirmado que están trabajando en parches para resolver esta vulnerabilidad. Google está bloqueando el acceso a la IP 0.0.0.0 en Chromium 128 y lo hará más adelante en versiones posteriores. Apple ha realizado cambios en WebKit para bloquear el acceso a 0.0.0.0, y espera que el parche llegue con Safari 18, disponible en iOS 18 a partir de septiembre. Mozilla, por su parte, solo ha confirmado que está investigando la vulnerabilidad.