¡Actualizar ahora! Chrome necesita parches contra dos vulnerabilidades en estado salvaje

EXPLOITS Y VULNERABILIDADES

Google ha publicado una actualización para el navegador Chrome que corrige dos vulnerabilidades descubiertas recientemente. El canal estable del navegador se ha actualizado a 89.0.4389.128 para Windows, Mac y Linux. Ambos siendo explotados en la naturaleza.

Google está al tanto de los informes de que existen exploits para CVE-2021-21206 y CVE-2021-21220.

Tenga en cuenta que otros navegadores, como Edge, Brave y Vivaldi, también se basan en Chrome y es probable que se vean afectados por los mismos problemas.

¿Qué vulnerabilidades están parcheadas?

Las fallas de seguridad informática divulgadas públicamente se enumeran en la base de datos de vulnerabilidades y exposiciones comunes (CVE). Su objetivo es facilitar el intercambio de datos entre capacidades de vulnerabilidad separadas (herramientas, bases de datos y servicios).

El primer día cero figuraba como CVE-2021-21220 y se descubrió en el evento Pwn2Own 2021 la semana pasada. La vulnerabilidad se debe a una validación insuficiente de la entrada que no es de confianza en V8, el motor JavaScript y WebAssembly de alto rendimiento de Google que interpreta el código incrustado en las páginas web.

El segundo día cero se enumeró como CVE-2021-21206 y se describe como un "uso después de libre en Blink". Use after free (UAF) es una vulnerabilidad causada por el uso incorrecto de la memoria dinámica durante la operación de un programa. Si después de liberar una ubicación de memoria, un programa no borra el puntero a esa memoria, un atacante puede usar el error para manipular el programa. Blink es el nombre del motor de renderizado utilizado por Chromium para "dibujar" páginas web.

¿Por qué dije un día de retraso?

El investigador Rajvardhan Agarwal logró publicar un exploit funcional para CVE-2021-21220 (la vulnerabilidad descubierta en Pwn2Own) en GitHub durante el fin de semana, mediante la ingeniería inversa de un parche producido por el equipo de Chromium. Chromium es el navegador de código abierto sobre el que se basa Chrome y, a su vez, se compone de componentes, como V8 y Blink. Las correcciones aparecen primero en Chromium y luego Google las empaqueta, junto con algunas ventajas específicas de Google, en una nueva versión del navegador Chrome.

Solo aquí para dejar un Chrome 0day. Sí, lo leiste bien. https://t.co/sKDKmRYWBP pic.twitter.com/PpVJrVitLR

– Rajvardhan Agarwal (@ r4j0x00) 12 de abril de 2021

¿Y por qué un dólar corto?

Porque el mismo investigador afirmó que (en ese momento) aunque la vulnerabilidad que afectaba a los navegadores basados ​​en Chromium había sido reparada en la última versión de V8, funcionaba contra la versión actual de Chrome, lo que dejaba a los usuarios potencialmente vulnerables a los ataques.

Afortunadamente, aunque Agarwal demostró que la explotación era posible, no llegó a entregar a los criminales las llaves de todo el castillo. Deliberadamente, el exploit publicado solo funcionaba si los usuarios deshabilitaban la zona de pruebas de su navegador, una especie de jaula de software protectora que aísla el navegador del resto de la computadora y lo protege exactamente de este tipo de exploit. Los delincuentes que buscan usar su exploit tendrían que encadenarlo con un “escape” de sandbox, una tarea técnicamente difícil (aunque no imposible, como demostraron los ganadores de Pwn2Own).

La actualización

La forma más fácil de hacerlo es permitir que Chrome se actualice automáticamente, que básicamente usa el mismo método que se describe a continuación, pero no requiere su atención. Pero puede terminar retrasándose si nunca cierra el navegador o si algo sale mal, como una extensión que le impide actualizar el navegador.

Por lo tanto, no está de más comprobar de vez en cuando. Y ahora sería un buen momento, dadas las hazañas de trabajo. Mi método preferido es hacer que Chrome abra la página chrome://settings/help que también puede encontrar haciendo clic en Configuración > Acerca de Chrome .

Si hay una actualización disponible, Chrome te lo notificará y comenzará a descargarla. Luego le dirá que todo lo que tiene que hacer para completar la actualización es reiniciar el navegador.

Fuente:Malwarebytes