Google lanzó una nueva actualización de seguridad de emergencia para el navegador Chrome, destinada a corregir una vulnerabilidad Zero-Day etiquetada como explotada en ataques. La compañía confirmó que existe un exploit asociado al CVE-2024-7971.
La vulnerabilidad se debe a una debilidad de confusión de tipos en el motor JavaScript V8 de Chrome. Esta falla fue informada por investigadores del Centro de inteligencia de amenazas de Microsoft (MSTIC) y del Centro de respuesta de seguridad de Microsoft (MSRC).
Aunque estas fallas pueden permitir a los atacantes provocar fallos en el navegador al interpretar datos asignados a la memoria como un tipo diferente, también podrían ser explotadas para ejecutar código arbitrario en dispositivos que usen navegadores sin parches.
Google solucionó el problema mediante el lanzamiento de versiones 128.0.6613.84/85 para Windows/macOS y 128.0.6613.84 (Linux), que se implementarán en los canales de escritorio estable durante las próximas semanas.
Detalles sobre la vulnerabilidad
Aunque Google confirmó que CVE-2024-7971 fue utilizada en ataques, no ha compartido información adicional sobre su explotación en estado salvaje. La compañía mencionó que el acceso a detalles del error y a los enlaces puede mantenerse restringido hasta que la mayoría de los usuarios se actualice con una solución.
Además, Google indicó que mantendrá las restricciones si el error existe en una biblioteca de terceros de la que dependen otros proyectos, pero aún no se ha solucionado.
Vulnerabilidades parcheadas por Google en 2024
CVE-2024-7971 es el noveno Zero-Day en Chrome parcheado por Google en 2024, ya sea explotado en la naturaleza o en el concurso de hacking Pwn2Own:
- CVE-2024-0519 – Out-of-bounds memory access in V8
- CVE-2024-2886 – Use-after-free in WebCodecs (demonstrated at Pwn2Own 2024)
- CVE-2024-2887 – Type confusion in WebAssembly (demonstrated at Pwn2Own 2024)
- CVE-2024-3159 – Out-of-bounds memory access in V8 (demonstrated at Pwn2Own 2024)
- CVE-2024-4671 – Use-after-free in Visuals
- CVE-2024-4761 – Out-of-bounds write in V8
- CVE-2024-494 – Type confusion in V8
- CVE-2024-5274 – Type confusion in V8
También se recomienda actualizar a los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi.