15 de abril de 2023Ravie LakshmanánSeguridad de día cero/navegador

Google lanzó el viernes actualizaciones fuera de banda para abordar una falla de día cero explotada activamente en su navegador Chrome, convirtiéndose en el primer error de este tipo que se resuelve desde principios de año.

rastreado como CVE-2023-2033la vulnerabilidad de alta severidad fue descrita como una tipo de problema de confusión en el motor JavaScript V8. Clement Lecigne del Grupo de Análisis de Amenazas (TAG) de Google fue acreditado por informar el problema el 11 de abril de 2023.

«La confusión de tipos en V8 en Google Chrome antes de 112.0.5615.121 permitía a un atacante remoto explotar potencialmente la corrupción del montón a través de una página HTML manipulada», de acuerdo con a la base de datos nacional de vulnerabilidades (NVD) del NIST.

el gigante tecnológico Reconocido que «existe un exploit para CVE-2023-2033 en la naturaleza», pero no llegó a compartir especificaciones técnicas adicionales o indicadores de compromiso (IoC) para evitar una mayor explotación por parte de los actores de amenazas.

CVE-2023-2033 también parece compartir similitudes con CVE-2022-1096, CVE-2022-1364, CVE-2022-3723 y CVE-2022-4262: otras cuatro fallas de confusión de tipos de las que se abusó activamente en V8 que han sido reparadas por Google en 2022.

Google cerró un total de nueve días cero en Chrome el año pasado. El desarrollo se produce días después de que Citizen Lab y Microsoft revelaran la explotación de una falla ahora parcheada en Apple iOS por parte de los clientes de un oscuro proveedor de software espía llamado QuaDream para apuntar a periodistas, figuras de la oposición política y un trabajador de una ONG en 2021.

Se recomienda a los usuarios que actualicen a la versión 112.0.5615.121 para Windows, macOS y Linux para mitigar posibles amenazas. También se recomienda a los usuarios de navegadores basados ​​en Chromium como Microsoft Edge, Brave, Opera y Vivaldi que apliquen parches cuando estén disponibles.