Google lanzó una actualización de seguridad de emergencia para abordar la quinta vulnerabilidad zero-day de Chrome explotada en ataques desde el inicio del año.
Vulnerabilidad y corrección
La compañía emitió un aviso de seguridad señalando que es consciente de la existencia de un exploit para la vulnerabilidad CVE-2023-5217 utilizado por diferentes actores de amenazas.
La vulnerabilidad CVE-2023-5217 fue corregida en la versión Google Chrome 117.0.5938.132, disponible globalmente para usuarios de Windows, Mac y Linux con Escritorio Estable.
El aviso advierte que podría llevar días o semanas hasta que la versión corregida llegue a todos los usuarios.
El navegador web verificará automáticamente nuevas actualizaciones y las instalará automáticamente después del próximo inicio.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad zero-day (CVE-2023-5217) se debe a una debilidad de heap-based buffer overflow en el encoding VP8 de la biblioteca open-source de códecs de video libvpx.
Sus consecuencias pueden variar desde bloqueos de aplicaciones hasta la ejecución de código arbitrario.
Investigación y contexto
Clément Lecigne, investigador de seguridad del Grupo de Análisis de Amenazas (TAG) de Google, informó sobre esta falla el 25 de septiembre.
El TAG de Google es reconocido por descubrir y reportar zero-days utilizados en ataques de spyware dirigidos por actores respaldados por el gobierno y grupos de hackers que tienen como objetivo a individuos de alto riesgo, como periodistas y políticos de oposición.
Maddie Stone de Google TAG reveló que el CVE-2023-5217 se explotó precisamente para instalar spyware.
Google aún no ha compartido detalles adicionales sobre estos incidentes.
La compañía explicó que la retención de información detallada puede ser necesaria hasta que la mayoría de los usuarios estén actualizados con una solución.
Si la vulnerabilidad afecta a una biblioteca de terceros en la que otros proyectos confían y aún no se ha corregido, Google también puede mantener restricciones.
Otras correcciones y CVEs
- Google corrigió otro zero-day (identificado como CVE-2023-4863), que había sido explotado activamente.
- La compañía asignó otro CVE (CVE-2023-5129) y lo calificó como una vulnerabilidad crítica de seguridad en libwebp, una biblioteca ampliamente utilizada por varios proyectos, incluyendo Signal, 1Password, Mozilla Firefox, Microsoft Edge, Safari de Apple y el navegador web nativo de Android.