22 de agosto de 2024
Unha falla de gran gravidade no navegador Chrome de Google, que se explotou activamente en estado salvaxe, foi solucionada mediante actualizacións de seguridade publicadas recentemente pola compañía. Descubriuse que a vulnerabilidade CVE-2024-7971 era un problema de confusión de tipos no motor V8 JavaScript e WebAssembly.
Base de datos de vulnerabilidade nacional (NVD) do Instituto Nacional de Estándares e Tecnoloxía (NIST) informado que tipo confusión en V8 anterior á versión 128.0.6613.84 de Google Chrome, un atacante remoto podería explotar a corrupción do montón a través dunha páxina HTML especialmente creada.
O 19 de agosto de 2024, o fallo foi descuberto e informado polo Microsoft Threat Intelligence Center (MSTIC) e o Microsoft Security Response Center (MSRC). Non obstante, aínda non se revelaron detalles específicos sobre os ataques que explotaron esta falla ou as identidades dos actores da ameaza. Google está a priorizar asegurarse de que a maioría dos usuarios actualizasen os seus navegadores coa corrección.
Google reconoceu a conciencia dun exploit para CVE-2024-7971 nunha breve declaración, que é actualmente activo en estado salvaxe. Esta é a terceira instancia de vulnerabilidade de confusión de tipo na V8 que Google abordou este ano, sendo as vulnerabilidades anteriores CVE-2024-4947 e CVE-2024-5274.
En total, Google recoñeceu nove vulnerabilidades de día cero en Chrome desde principios de 2024, incluíndo tres demostradas en Pwn2Own 2024:
- CVE-2024-0519: Acceso á memoria fóra dos límites en V8
- CVE-2024-2886: Use-after-free en WebCodecs (demostrado en Pwn2Own 2024)
- CVE-2024-2887: Confusión de tipos en WebAssembly (demostrado en Pwn2Own 2024)
- CVE-2024-3159: Acceso á memoria fóra dos límites en V8 (demostrado en Pwn2Own 2024)
- CVE-2024-4671: Use-after-free en Visual
- CVE-2024-4761: Escritura fóra dos límites en V8
- CVE-2024-4947: Confusión de tipos en V8
- CVE-2024-5274: Confusión de tipos en V8
Recoméndase que os usuarios actualicen o seu navegador Chrome á versión 128.0.6613.84/.85 para Windows e macOS, e á versión 128.0.6613.84 para Linux para mitigar os posibles riscos. Isto aplícase tamén a aqueles que usan navegadores baseados en Chromium como Microsoft Edge, Brave, Opera e Vivaldi, e as actualizacións deben aplicarse en canto estean dispoñibles.