Google lanzó actualizaciones de seguridad para corregir siete problemas de seguridad de alta gravedad en su navegador Chrome.
Vulnerabilidad zero-day explotada en entornos no controlados
La vulnerabilidad zero-day explotada en entornos no controlados ha sido identificada como CVE-2023-6345. Esta es un error de Integer overflow en Skia, una librería de gráficos 2D de código abierto.
Benoît Sevens y Clément Lecigne del Grupo de Análisis de Amenazas (TAG) de Google descubrieron y reportaron la vulnerabilidad el 24 de noviembre de 2023. Google reconoció que existe un exploit para CVE-2023-6345 que está siendo utilizado en ataques reales.
Vulnerabilidades corregidas en esta actualización
Google abordó un total de 6 vulnerabilidades de alta gravedad en Chrome con esta actualización. Entre ellas se incluyen:
- CVE-2023-6348: Type Confusion en Spellcheck (Puntuación CVSS: 8.8).
- CVE-2023-6347: Use after free en Mojo (Puntuación CVSS: 9.8).
- CVE-2023-6346: Use after free en WebAudio (Puntuación CVSS: 9.8).
- CVE-2023-6350: Out of bounds memory access en libavif (Puntuación CVSS: 7.3).
- CVE-2023-6351: Use after free en libavif (Puntuación CVSS: 9.8).
- CVE-2023-6345: Integer overflow en Skia (Puntuación CVSS: 8.8).
Vulnerabilidad similar explotada previamente
Google lanzó parches para una vulnerabilidad zero-day similar (CVE-2023-2136) en abril de 2023, que también fue objeto de explotación activa. CVE-2023-2136 permitía a un atacante remoto que había comprometido el proceso de renderizado realizar potencialmente una fuga de la sandbox a través de una página HTML manipulada.
Recomendaciones para mitigar riesgos
Se recomienda actualizar a la versión 119.0.6045.199/.200 de Chrome para Windows y 119.0.6045.199 para macOS y Linux.
Los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, deben aplicar las correcciones tan pronto como estén disponibles.