Google ha lanzado una nueva actualización de seguridad para el navegador web Chrome, destinada a abordar una vulnerabilidad Zero-Day de alta gravedad que, según la empresa, está siendo explotada en la naturaleza.
Vulnerabilidad CVE-2023-7024
La vulnerabilidad identificada como CVE-2023-7024 se describe como un error de desbordamiento del búfer basado en montón (heap-based buffer overflow) dentro del marco WebRTC. Este tipo de fallo podría ser explotado para provocar fallos del programa o la ejecución de código arbitrario.
El descubrimiento y el informe de esta vulnerabilidad se atribuyen a Clément Lecigne y Vlad Stolyarov del Grupo de análisis de amenazas (TAG) de Google, quienes lo notificaron el 19 de diciembre de 2023.
No se han revelado otros detalles sobre la falla para evitar su posible explotación. Google reconoce que «existe un exploit para CVE-2023-7024 en la naturaleza».
Impacto potencial y compatibilidad
Dado que WebRTC es un proyecto de código abierto compatible con navegadores como Mozilla Firefox y Apple Safari, no está claro si el impacto de esta vulnerabilidad se limita únicamente a Chrome o afecta también a otros navegadores basados en Chromium.
Historial de vulnerabilidades Zero-Day en Chrome
Este incidente marca la resolución del octavo día cero explotado activamente en Chrome desde principios de año. A continuación, se detallan algunas de las vulnerabilidades más relevantes:
- CVE-2023-2033 (CVSS score: 8.8) – Type confusion en V8
- CVE-2023-2136 (CVSS score: 9.6) – Desbordamiento de entero en Skia
- CVE-2023-3079 (CVSS score: 8.8) – Type confusion en V8
- CVE-2023-4762 (CVSS score: 8.8) – Type confusion en V8
- CVE-2023-4863 (CVSS score: 8.8) – Desbordamiento de búfer en WebP
- CVE-2023-5217 (CVSS score: 8.8) – Desbordamiento de búfer en vp8 encoding en libvpx
- CVE-2023-6345 (CVSS score: 9.6) – Desbordamiento de entero en Skia
Vulnerabilidades reportadas en 2023
Según datos recopilados por Qualys, se han revelado un total de 26.447 vulnerabilidades en lo que va de 2023, superando al año anterior en más de 1.500 CVE. De estas, 115 fallas han sido explotadas por actores de amenazas y grupos de ransomware.
Las principales categorías de vulnerabilidades incluyen la ejecución remota de código, la omisión de funciones de seguridad, la manipulación del búfer, la escalada de privilegios y las fallas de validación y análisis de entradas.
Recomendaciones para usuarios
Se recomienda a los usuarios actualizar a la versión 120.0.6099.129/130 de Chrome para Windows, 120.0.6099.129 para macOS y Linux para mitigar posibles amenazas.
También se recomienda a los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, que apliquen las correcciones cuando estén disponibles.