Una vulnerabilidad de día cero de Chrome V8 explotada en el mundo real permite la ejecución de código dentro del entorno aislado

Goo­gle ha lan­za­do ac­tua­li­za­cio­nes para so­lu­cio­nar una gran can­ti­dad de vul­ne­ra­bi­li­da­des de se­gu­ri­dad, in­clu­yen­do un fallo que ya está sien­do apro­ve­cha­do en ata­ques reales. Este pro­ble­ma en par­ti­cu­lar se lo­ca­li­za en el motor de Ja­vaS­cript y We­bAs­sembly del na­ve­ga­dor, per­mi­tien­do que un ata­can­te re­mo­to eje­cu­te có­di­go ar­bi­tra­rio den­tro del en­torno se­gu­ro me­dian­te una pá­gi­na HTML ma­ni­pu­la­da.

El ha­llaz­go y re­por­te de este fallo es­pe­cí­fi­co fue rea­li­za­do por un in­ves­ti­ga­dor de se­gu­ri­dad uni­ver­si­ta­rio, quien re­ci­bió una com­pen­sa­ción eco­nó­mi­ca por su di­vul­ga­ción res­pon­sa­ble. Aun­que la em­pre­sa tec­no­ló­gi­ca con­fir­mó la exis­ten­cia de ata­ques ba­sa­dos en esta vul­ne­ra­bi­li­dad, de­ci­dió man­te­ner res­trin­gi­dos los de­ta­lles téc­ni­cos y los en­la­ces de ac­ce­so hasta que la ma­yo­ría de los usua­rios hayan apli­ca­do el par­che co­rres­pon­dien­te.

Con esta nueva ronda de co­rrec­cio­nes, la com­pa­ñía ya suma va­rios erro­res de día cero aten­di­dos du­ran­te el año en curso. Las ac­tua­li­za­cio­nes re­cien­tes tam­bién co­rri­gen otros pro­ble­mas crí­ti­cos lo­ca­li­za­dos en com­po­nen­tes es­pe­cí­fi­cos, por lo que se re­co­mien­da en­ca­re­ci­da­men­te a los usua­rios ac­tua­li­zar el na­ve­ga­dor a las ver­sio­nes más re­cien­tes y re­ini­ciar la apli­ca­ción para com­ple­tar el pro­ce­so de pro­tec­ción.