El pasado martes 16 de enero, Google lanzó una actualización que corrige varias vulnerabilidades en el motor V8 de JavaScript utilizado por Chrome. Esta actualización incluye un zero-day de alta criticidad que está siendo activamente explotado.
Vulnerabilidad categórica y contexto
Esta es la primera vulnerabilidad zero-day de Chrome en 2024. A finales de diciembre, Google solucionó otras vulnerabilidades que afectaban al motor V8. El fallo permite acceder a memoria fuera de los límites legítimos de alguna estructura de datos del programa mediante una página HTML manipulada.
Categorización y CVE
La vulnerabilidad está catalogada como CVE-2024-0519. Google pospone la publicación de una explicación más detallada hasta que el parche haya sido aplicado por una mayoría de usuarios.
Versión corregida y afectados
La vulnerabilidad se encuentra corregida en las versiones 120.0.6099.224/225 de Windows, 120.0.6099.234 de macOS, y 120.0.6099.224 de Linux. Los navegadores Microsoft Edge, Brave, Opera y Vivaldi, basados en Chromium, también están afectados.
Impacto del mercado
Chrome y los navegadores basados en Chromium copan casi el 80% del mercado mundial de navegadores de escritorio. Los fallos de seguridad en la plataforma son muy jugosos para los atacantes.
Antecedentes de explotación
La explotación de hasta ocho zero-days que afectaron a Chrome durante 2023 así lo atestigua. Uno de los más usados en ataques durante el año pasado, con CVE-2023-4762, está relacionado con la distribución de software espía con políticos, periodistas y disidentes como objetivo.
Riesgos asociados
- Puede provocar una denegación de servicio.
- Hace inefectiva la protección ASLR.
- Facilita realizar ataques de buffer overflow que permitan ejecución de código remoto en los sistemas afectados.
- La ausencia de esta protección hace a la vulnerabilidad una candidata ideal para ser enlazada con otras y provocar que un equipo sea comprometido.
Mitigaciones recomendadas
- Aplicar las actualizaciones correspondientes cuando estén disponibles.
- Actualizar Chrome a las versiones 120.0.6099.224/225 de Windows, 120.0.6099.234 de macOS, y 120.0.6099.224 de Linux.
- Actualizar los navegadores Microsoft Edge, Brave, Opera y Vivaldi cuando estén disponibles.