Google reveló una nueva vulnerabilidad de día cero, identificada como CVE-2023-5217, que afecta no solo al navegador Chrome sino también a otros sistemas que utilizan la biblioteca libvpx. Esta vulnerabilidad se relaciona con el formato VP8 y permite la ejecución remota de código. Mozilla ya confirmó que Firefox también está vulnerable.
Vulnerabilidad en formatos multimedia
La nueva brecha se encuentra en una biblioteca ampliamente utilizada para procesar archivos multimedia, específicamente aquellos en formato VP8. Esta vulnerabilidad es similar a CVE-2023-4863, que también afectó a Chrome y fue revelada hace 17 días.
La divulgación de Google indica que el día cero se aplica a la codificación de vídeo, mientras que el exploit en libwebp, vulnerable a ataques previos, funcionaba tanto para codificar como decodificar. En consecuencia, CVE-2023-5217 requiere un dispositivo específico para crear medios en formato VP8.
Impacto potencial y parches disponibles
La mayoría de los navegadores utilizan libvpx, lo que sugiere que el alcance de esta vulnerabilidad es amplio. La lista de software o proveedores que la admiten incluye a Skype, Adobe, VLC y Android. Mozilla lanzó un parche correspondiente el jueves.
El parche está disponible en Chrome 117.0.5938.132, Firefox 118.0.1, Firefox ESR 115.3.1, Firefox Focus para Android 118.1 y Firefox para Android 118.1.
Similitudes con vulnerabilidades anteriores
Ambos días cero surgen de desbordamientos de búfer que permiten la ejecución remota de código con poca o ninguna interacción por parte del usuario final, excepto visitar una página web maliciosa. Ambas bibliotecas multimedia están escritas en C, un lenguaje considerado inseguro debido a su propensión a vulnerabilidades de corrupción de memoria.
La redacción del CVE asignado por Google es clara: la vulnerabilidad afecta no solo a Chrome sino también a libvpx. Esta claridad contrasta con el caso de CVE-2023-4863, donde solo se mencionó que afectaba a Chrome, lo cual generó confusión.
Detalles sobre la explotación
La publicación de Google indica que el código que explota la falla «existe en la naturaleza». Una publicación en redes sociales de Maddie Stone, investigadora de seguridad del Grupo de Análisis de Amenazas de Google, menciona que el Zero-Day estaba siendo utilizado por un proveedor de vigilancia comercial. Google reconoció a Clement Lecigne del TAG de Google por descubrir la vulnerabilidad.
Posibles afectaciones y parches
No está claro cuántos paquetes de software que dependen de libvpx serán vulnerables a CVE-2023-5217. Will Dorman, analista principal senior de Analygence, señaló que el hecho de que un paquete dependa de libvpx no significa necesariamente que sea vulnerable.
Los navegadores Firefox, Chrome (y los basados en Chromium), además de otras cosas que exponen las capacidades de codificación VP8 desde libvpx a JavaScript, parecen estar en riesgo. Es probable que haya muchos más paquetes además de Chrome y Firefox que requerirán parches.
Vulnerabilidades anteriores en Google Chrome
Este último descubrimiento eleva a cinco el número de vulnerabilidades de día cero en Google Chrome para las que se han lanzado parches este año:
- CVE-2023-2033 (CVSS score: 8.8) – Type confusion in V8
- CVE-2023-2136 (CVSS score: 9.6) – Integer overflow in Skia
- CVE-2023-3079 (CVSS score: 8.8) – Type confusion in V8
- CVE-2023-4863 (CVSS score: 8.8) – Heap buffer overflow in WebP
- CVE-2023-5217 – heap-based buffer overflow en el formato VP8 de libvpx.