Google ha publicado actualizaciones de seguridad de emergencia para el navegador Chrome con el fin de solucionar una vulnerabilidad de día cero de alta gravedad etiquetada como explotada en ataques.
Esta corrección se produce sólo tres días después de que Google abordara otra vulnerabilidad de día cero en Chrome, CVE-2024-4671, causada por una debilidad de uso después de la liberación en el componente Visuals.
El último fallo se registra como CVE-2024-4761. Se trata de un problema de escritura fuera de los límites que afecta al motor JavaScript V8 de Chrome, responsable de ejecutar el código JS en la aplicación.
Los problemas de escritura fuera de los límites se producen cuando se permite a un programa escribir datos fuera de la matriz o el búfer especificados, lo que puede dar lugar a un acceso no autorizado a los datos, la ejecución de código arbitrario o el bloqueo del programa.
«Google es consciente de que existe un exploit para CVE-2024-4761», se lee en el aviso.
La compañía ha corregido el fallo de seguridad con el lanzamiento de 124.0.6367.207/.208 para Mac/Windows y 124.0.6367.207 para Linux. Las actualizaciones llegarán a todos los usuarios en los próximos días y semanas.
Para los usuarios del canal «Extended Stable», las correcciones estarán disponibles en la versión 124.0.6367.207 para Mac y Windows.
Chrome se actualiza automáticamente cuando hay una actualización de seguridad disponible, pero los usuarios pueden confirmar que están ejecutando la última versión accediendo a Configuración > Acerca de Chrome, dejando que finalice la actualización y pulsando el botón «Reiniciar» para aplicarla.
Sexto día cero explotado en ataques
Esta última vulnerabilidad de Google Chrome es el sexto fallo de día cero descubierto y corregido en el popular navegador web desde principios de año.
La empresa señala que un investigador anónimo informó del fallo el 9 de mayo de 2024, pero por el momento no se han revelado más detalles.
«El acceso a los detalles y enlaces del fallo puede mantenerse restringido hasta que la mayoría de los usuarios se actualicen con una solución. También mantendremos restricciones si el fallo existe en una biblioteca de terceros de la que dependen otros proyectos de forma similar, pero que aún no se ha corregido", ha declarado Google.
Los fallos de día cero de Chrome corregidos en 2024 hasta la fecha son:
- CVE-2024-0519: Una debilidad de acceso a memoria fuera de límites de alta gravedad en el motor JavaScript V8 de Chrome, que permite a atacantes remotos explotar la corrupción de heap a través de una página HTML especialmente diseñada, lo que lleva al acceso no autorizado a información confidencial.
- CVE-2024-2887: Un fallo de confusión de tipo de alta gravedad en el estándar WebAssembly (Wasm). Podría dar lugar a exploits de ejecución remota de código (RCE) aprovechando una página HTML manipulada.
- CVE-2024-2886: Una vulnerabilidad «use-after-free» en la API WebCodecs utilizada por las aplicaciones web para codificar y descodificar audio y vídeo. Los atacantes remotos la explotaban para realizar lecturas y escrituras arbitrarias a través de páginas HTML manipuladas, lo que llevaba a la ejecución remota de código.
- CVE-2024-3159: Una vulnerabilidad de alta gravedad causada por una lectura fuera de los límites en el motor JavaScript V8 de Chrome. Los atacantes remotos explotaban este fallo utilizando páginas HTML especialmente diseñadas para acceder a datos más allá del búfer de memoria asignado, lo que provocaba una corrupción de la pila que podía aprovecharse para extraer información confidencial.
- CVE-2024-4671: Un fallo de uso después de la liberación de alta gravedad en el componente Visuals que gestiona la representación y visualización de contenido en el navegador.
Fuente: bleepingcomputer