Google ha lanzado una actualización de seguridad para el navegador Chrome con la finalidad de corregir la quinta vulnerabilidad Zero-Day explotada desde principios de año. Esta vulnerabilidad, identificada como CVE-2024-4671, se clasifica como un problema de alta gravedad relacionado con el uso después de la liberación.
Vulnerabilidad y contexto
La vulnerabilidad afecta al componente Visuals del navegador, encargado de representar y visualizar contenido. Google reveló que esta falla fue descubierta y reportada por un investigador anónimo, y que se utilizó en ataques.
«Google es consciente de que existe un exploit para CVE-2024-4671», se lee en el aviso publicado en el blog oficial de Chrome. No se proporciona información adicional sobre los detalles del ataque o la forma en que fue explotada.
Características técnicas
Las fallas de uso posterior a la liberación son un tipo de error de seguridad que ocurre cuando un programa sigue utilizando un puntero después de haber liberado la memoria a la que apunta. Esto puede provocar una fuga de datos, la ejecución de código no autorizado o bloqueos.
Correcciones y versiones
Google solucionó el problema mediante el lanzamiento de las versiones 124.0.6367.201/.202 para Mac/Windows y 124.0.6367.201 para Linux. Estas actualizaciones se implementarán en los próximos días o semanas.
Para los usuarios del canal «Extended Stable», las correcciones estarán disponibles en la versión 124.0.6367.201 para Mac y Windows, que también se implementarán más adelante.
Vulnerabilidades de Chrome en 2024
Esta última falla abordada en Google Chrome es la quinta este año. Otras tres vulnerabilidades fueron descubiertas durante el concurso de hacking Pwn2Own de marzo de 2024 en Vancouver.
Lista completa de correcciones
- CVE-2024-0519: Una debilidad de acceso a memoria fuera de límites dentro del motor JavaScript Chrome V8. Permite a atacantes remotos explotar la corrupción del montón mediante una página HTML especialmente diseñada, lo que conduce a un acceso no autorizado a información confidencial.
- CVE-2024-2887: Una falla de confusión de tipos en el estándar WebAssembly (Wasm). Puede dar lugar a vulnerabilidades de ejecución remota de código (RCE) aprovechando una página HTML diseñada.
- CVE-2024-2886: Una vulnerabilidad de uso después de la liberación en la API WebCodecs utilizada por aplicaciones web para codificar y decodificar audio y video. Los atacantes remotos lo aprovecharon para realizar lecturas y escrituras arbitrarias a través de páginas HTML diseñadas, lo que llevó a la ejecución remota de código.
- CVE-2024-3159: Una vulnerabilidad causada por una lectura fuera de límites en el motor JavaScript Chrome V8. Los atacantes remotos explotaron esta falla utilizando páginas HTML especialmente diseñadas para acceder a datos más allá del búfer de memoria asignado, lo que resultó en una corrupción del montón que podría aprovecharse para extraer información confidencial.