Google lanzó recientemente una actualización de emergencia para el navegador Chrome, que solucionó una vulnerabilidad que se estaba explotando activamente. Menos de una semana después, llegó otra actualización para corregir un nuevo Zero-Day que también se está explotando en la naturaleza.
Detalles de las actualizaciones
La versión 112.0.5615.137 corrige ocho fallas de seguridad, incluida al menos una que puede haber sido aprovechada activamente. Esta vulnerabilidad, identificada como CVE-2023-2136, se describe como un desbordamiento de enteros en la librería multiplataforma de gráficos 2D Skia y aparece como un error de alto riesgo. Google no revela cómo se solucionó la falla.
Además, se incluyen otros cuatro defectos:
- CVE-2023-2136: Integer overflow en Skia. Reportado por Clément Lecigne de Google's Threat Analysis Group el 12 de abril de 2023.
- CVE-2023-2133: Out of bounds memory access en Service Worker API. Reportado por Rong Jian de VRI el 30 de marzo de 2023.
- CVE-2023-2134: Out of bounds memory access en Service Worker API. Reportado por Rong Jian de VRI el 30 de marzo de 2023.
- CVE-2023-2135: Use after free en DevTools. Reportado por Cassidy Kim el 14 de marzo de 2023.
- CVE-2023-2137: Heap buffer overflow en sqlite. Reportado por Nan Wang y Guang Gong de 360 Vulnerability Research Institute el 5 de abril de 2023.
Todas las fallas se enumeran como de riesgo «alto», excepto CVE-2023-2137, que tiene un riesgo «medio».
Implementación y afectaciones
El canal estable y estable extendido se actualizó a 112.0.5615.137/138 para Windows, 112.0.5615.137 para Mac y 112.0.5615.165 para Linux, que se implementará en los próximos días o semanas. Una lista completa de cambios en esta compilación está disponible en el log.
Esta vulnerabilidad también afecta a otros navegadores que dependen de Chromium, tales como Edge, Brave y Vivaldi.