22 de agosto de 2024
Uma falha de alta gravidade no navegador Chrome do Google, que tem sido explorada ativamente, foi corrigida por atualizações de segurança lançadas recentemente pela empresa. A vulnerabilidade, CVE-2024-7971, foi considerada um problema de confusão de tipo no mecanismo V8 JavaScript e WebAssembly.
Banco de Dados Nacional de Vulnerabilidades (NVD) do Instituto Nacional de Padrões e Tecnologia (NIST) relatado que digita confusão na V8 anterior à versão 128.0.6613.84 do Google Chrome, um invasor remoto poderia explorar a corrupção de heap por meio de uma página HTML especialmente criada.
Em 19 de agosto de 2024, a falha foi descoberta e relatada pelo Microsoft Threat Intelligence Center (MSTIC) e pelo Microsoft Security Response Center (MSRC). No entanto, detalhes específicos sobre os ataques que exploraram esta falha ou as identidades dos autores da ameaça ainda não foram divulgados. O Google está priorizando garantir que a maioria dos usuários atualize seus navegadores com a correção.
O Google reconheceu o conhecimento de uma exploração para CVE-2024-7971 em uma breve declaração, que é atualmente ativo na natureza. Isso marca a terceira instância de vulnerabilidade de confusão de tipo no V8 que o Google abordou este ano, com as vulnerabilidades anteriores sendo CVE-2024-4947 e CVE-2024-5274.
No total, o Google reconheceu nove vulnerabilidades de dia zero no Chrome desde o início de 2024, incluindo três demonstradas no Pwn2Own 2024:
- CVE-2024-0519: Acesso à memória fora dos limites na V8
- CVE-2024-2886: Use-after-free em WebCodecs (demonstrado em Pwn2Own 2024)
- CVE-2024-2887: Confusão de tipos no WebAssembly (demonstrado em Pwn2Own 2024)
- CVE-2024-3159: Acesso à memória fora dos limites na V8 (demonstrado em Pwn2Own 2024)
- CVE-2024-4671: Use-after-free em recursos visuais
- CVE-2024-4761: Gravação fora dos limites na V8
- CVE-2024-4947: Confusão de tipos na V8
- CVE-2024-5274: Confusão de tipos no V8
É recomendado que os usuários atualizem seu navegador Chrome para a versão 128.0.6613.84/.85 para Windows e macOS e para a versão 128.0.6613.84 para Linux para mitigar quaisquer riscos potenciais. Isso também se aplica àqueles que usam navegadores baseados em Chromium, como Microsoft Edge, Brave, Opera e Vivaldi, e as atualizações devem ser aplicadas assim que estiverem disponíveis.