Google ha lanzado actualizaciones de seguridad para el navegador Chrome debido a una vulnerabilidad zero-day identificada como CVE-2023-7024. Esta vulnerabilidad se clasifica como un fallo de buffer overflow basado en la pila dentro del marco WebRTC.
Riesgos asociados
La vulnerabilidad puede provocar bloqueos del programa o ejecución arbitraria de código, lo que representa un riesgo significativo para los usuarios. Google ha confirmado que existe un exploit activamente utilizado para esta vulnerabilidad.
Detalles sobre la vulnerabilidad
Los investigadores Clément Lecigne y Vlad Stolyarov reportaron la vulnerabilidad el 19 de diciembre de 2023. No se han revelado otros detalles sobre la vulnerabilidad, aunque se ha confirmado que está siendo explotada activamente.
Afectación a navegadores
WebRTC es compatible con Mozilla Firefox y Apple Safari, pero no está claro si la vulnerabilidad afecta a esos navegadores. Por el momento, solo se ha confirmado su impacto en Chrome.
Contexto de otros ceros-day en 2023
- CVE-2023-2033 fue un zero-day explotado previamente.
- CVE-2023-2136 fue otro zero-day explotado previamente.
- CVE-2023-3079 fue otro zero-day explotado previamente.
- CVE-2023-4762 fue otro zero-day explotado previamente.
- CVE-2023-4863 fue otro zero-day explotado previamente.
- CVE-2023-5217 fue otro zero-day explotado previamente.
- CVE-2023-6345 fue otro zero-day explotado previamente.
Este es el octavo zero-day explotado activamente en Chrome este año. Hasta la fecha, se han revelado 26.447 vulnerabilidades en 2023, de las cuales 115 han sido explotadas por actores de amenazas y grupos de ransomware.
Tipos de vulnerabilidades reportadas
- Ejecución remota de código
- Bypass de funciones de seguridad
- Manipulación de buffers
- Escalada de privilegios
- Fallas en validación y análisis de entrada
Mitigaciones recomendadas
Para mitigar el riesgo, se recomienda actualizar a la versión 120.0.6099.129/130 de Chrome para Windows, a la versión 120.0.6099.129 para macOS y Linux, y aplicar correcciones en navegadores basados en Chromium como Microsoft Edge, Brave, Opera y Vivaldi.