Hoy, Google ha revelado que ha solucionado el décimo fallo de día cero explotado en libertad en 2024 por atacantes o investigadores de seguridad en competiciones de piratería.
Seguimiento como CVE-2024-7965 e informado por un investigador de seguridad conocido sólo como TheDog, la vulnerabilidad de alta gravedad ahora parcheada es causada por un bicho en el backend del compilador al seleccionar instrucciones para generar para la compilación justo a tiempo (JIT).
Google describe la vulnerabilidad como una implementación inadecuada en el motor JavaScript V8 de Google Chrome que puede permitir a atacantes remotos explotar la corrupción del montón a través de una página HTML diseñada.
Esto se anunció en una actualización de la publicación del blog donde la compañía reveló la semana pasada que había solucionado otra vulnerabilidad de día cero de alta gravedad (CVE-2024-7971) causada por un V8. confusión de tipos debilidad.
«Actualizado el 26 de agosto de 2024 para reflejar la explotación salvaje de CVE-2024-7965 que se informó después de este lanzamiento», dijo la compañía. dijo en la actualización de hoy“Google es consciente de que existen exploits para CVE-2024-7971 y CVE-2024-7965. »
Google ha solucionado los dos días cero en la versión 128.0.6613.84/.85 de Chrome para sistemas Windows/macOS y la versión 128.0.6613.84 para usuarios de Linux, que se están implementando para todos los usuarios en el canal de escritorio estable desde el miércoles.
Aunque Chrome se actualiza automáticamente cuando hay parches de seguridad disponibles, también puedes acelerar este proceso y aplicar las actualizaciones manualmente yendo al menú de Chrome > Ayuda > Acerca de Google Chrome, dejando que finalice la actualización y haciendo clic en el botón «Reiniciar» para instalarla. .
Aunque Google ha confirmado que las vulnerabilidades CVE-2024-7971 y CVE-2024-7965 se han utilizado en estado salvaje, aún no ha compartido más información sobre estos ataques.
«El acceso a los detalles del error y a los enlaces puede estar restringido hasta que se notifique la solución a la mayoría de los usuarios», dice Google.
“También mantendremos las restricciones si el error existe en una biblioteca de terceros de la que dependen otros proyectos de manera similar, pero que aún no se ha solucionado. »
Desde principios de año, Google ha solucionado otros ocho días cero que, según se informó, fueron explotados en ataques o durante el concurso de piratería Pwn2Own:
- CVE-2024-0519:Una debilidad de acceso a memoria fuera de límites de alta gravedad en el motor JavaScript Chrome V8, que permite a atacantes remotos explotar la corrupción del montón a través de una página HTML diseñada, lo que lleva a un acceso no autorizado a información confidencial.
- CVE-2024-2887:Un error de confusión de tipos de alta gravedad en el estándar WebAssembly (Wasm). Podría dar lugar a vulnerabilidades de ejecución remota de código (RCE) que aprovechen una página HTML especialmente diseñada.
- CVE-2024-2886:Un uso posterior a la vulnerabilidad gratuita en la API WebCodecs utilizada por aplicaciones web para codificar y decodificar archivos de audio y video. Los atacantes remotos lo aprovecharon para realizar lecturas y escrituras arbitrarias a través de páginas HTML diseñadas, lo que llevó a la ejecución remota de código.
- CVE-2024-3159:Una vulnerabilidad de alta gravedad causada por una lectura fuera de límites en el motor JavaScript de Chrome V8. Los atacantes remotos aprovecharon esta falla mediante el uso de páginas HTML especialmente diseñadas para acceder a datos más allá del búfer asignado, lo que resultó en una corrupción del montón que podría aprovecharse para extraer información confidencial.
- CVE-2024-4671:Una falla de uso después de la liberación de alta gravedad en el componente Visuals que maneja la representación y visualización del contenido en el navegador.
- CVE-2024-4761:Un problema de escritura fuera de límites en el motor JavaScript V8 de Chrome, que es responsable de ejecutar el código JS en la aplicación.
- CVE-2024-4947: Debilidad de confusión tipográfica en el motor JavaScript Chrome V8 que permite la ejecución de código arbitrario en el dispositivo de destino.
- CVE-2024-5274:Una confusión de tipos en el motor JavaScript V8 de Chrome que puede provocar fallos, corrupción de datos o ejecución de código arbitrario.
