Google ha corregido la sexta vulnerabilidad Zero-Day de Chrome en lo que va de año en una actualización de seguridad de emergencia publicada hoy para contrarrestar la continua explotación en ataques.
La empresa ha reconocido la existencia de un exploit para el fallo de seguridad (rastreado como CVE-2023-6345) en un nuevo aviso de seguridad publicado hoy.
"Google es consciente de que existe un exploit para CVE-2023-6345 en la naturaleza", dijo la compañía.
La vulnerabilidad se ha corregido en el canal Stable Desktop, y las versiones parcheadas se han distribuido globalmente a los usuarios de Windows (119.0.6045.199/.200) y Mac y Linux (119.0.6045.199).
Aunque el aviso advierte de que la actualización de seguridad puede tardar días o semanas en llegar a toda la base de usuarios, estaba disponible inmediatamente cuando BleepingComputer comprobó las actualizaciones a primera hora de hoy.
Los usuarios que no deseen actualizar manualmente pueden confiar en que el navegador web buscará nuevas actualizaciones automáticamente y las instalará tras el próximo lanzamiento.
Probable explotación en ataques de spyware
Esta vulnerabilidad zero-day de alta gravedad se deriva de una debilidad de desbordamiento de enteros en la biblioteca de gráficos 2D de código abierto Skia, lo que plantea riesgos que van desde bloqueos hasta la ejecución de código arbitrario (Skia también se utiliza como motor gráfico en otros productos como ChromeOS, Android y Flutter).
El fallo fue notificado el viernes 24 de noviembre por Benoît Sevens y Clément Lecigne, dos investigadores de seguridad del Grupo de Análisis de Amenazas (TAG) de Google.
El TAG de Google es conocido por descubrir "zero-days", a menudo explotados por grupos de piratas informáticos patrocinados por el Estado en campañas de espionaje dirigidas a personas de alto perfil, como periodistas y políticos de la oposición.
La empresa ha declarado que el acceso a los detalles del zero-day permanecerá restringido hasta que la mayoría de los usuarios hayan actualizado sus navegadores. Si el fallo afecta también a software de terceros que aún no haya sido parcheado, se ampliará la limitación de acceso a los detalles y enlaces del fallo.
"El acceso a los detalles y enlaces de los fallos puede mantenerse restringido hasta que la mayoría de los usuarios se actualicen con una solución. También mantendremos las restricciones si el fallo existe en una biblioteca de terceros de la que dependen otros proyectos similares, pero que aún no se ha corregido", afirma la empresa.
Con ello se pretende reducir la probabilidad de que los actores de amenazas desarrollen sus propios exploits CVE-2023-6345, aprovechando la información técnica recién publicada sobre la vulnerabilidad.
En septiembre, Google solucionó otros dos zero-days (rastreados como CVE-2023-5217 y CVE-2023-4863) explotados en ataques, el cuarto y el quinto desde principios de 2023.
Fuente: bleepingcomputer