Google Parcha Otro Zero-Day de Chrome Mientras los Ataques al Navegador Aumentan
La vulnerabilidad se encuentra entre un número creciente de errores zero-day que importantes proveedores de navegadores han reportado recientemente.
Por cuarta vez desde agosto, Google ha revelado un error en su tecnología de navegador Chrome que los atacantes estaban explotando activamente antes de que la compañía tuviera una solución.
Error de Desbordamiento de Entero
El último zero-day, que Google está rastreando como CVE-2023-6345, proviene de un problema de desbordamiento de entero en Skia, una biblioteca gráfica 2D de código abierto en Chrome. El error es uno de los siete problemas de seguridad de Chrome para los cuales Google emitió una actualización de seguridad esta semana.
El aviso de la compañía contenía detalles escasos sobre CVE-2023-6345, más allá de mencionar que hay un exploit disponible públicamente. Una breve descripción en el sitio de la Base de Datos Nacional de Vulnerabilidades (NVD) de NIST describió la falla como afectante a las versiones de Chrome anteriores a 119.0.6045.199 y permitiendo que un atacante remoto que haya "comprometido el proceso del renderizador potencialmente realice una escapada de la cárcel a través de un archivo malicioso". El NVD identificó el bug como un problema de alta gravedad.
Google agradeció a los investigadores de su Grupo de Análisis de Amenazas por encontrar y reportar CVE-2023-6345 el 24 de noviembre.
La vulnerabilidad es el séptimo zero-day que Google ha apresurado a parchar en medio de actividades de explotación activa este año y es la última manifestación del creciente interés de los atacantes en Chrome y otros navegadores.
Una Oleada de Zero-Days para Navegadores
Desde el comienzo de este año, Apple, Google, Microsoft y Firefox han revelado múltiples vulnerabilidades críticas en sus respectivos navegadores, incluyendo varios zero-days. En algunos casos, un error en algún componente ampliamente utilizado afectó a múltiples navegadores a la vez, como ocurrió con CVE-2023-4863, un desbordamiento de montón zero-day en WebP, una biblioteca de código común a Chrome, Apple Safari y Mozilla Firefox. En otros casos, como con CVE-2023-5217, un bug zero-day en Chrome afectó a múltiples navegadores basados en la tecnología Chromium, como Microsoft Edge, Opera, Brave y Vivaldi.
También hubo múltiples zero-days que Apple reveló por separado este año en su motor de navegador WebKit para Safari, incluyendo CVE-2023-28205 y otros tres en mayo: CVE-2023-32409, CVE-2023-28204 y CVE-2023-32373. Tanto Microsoft como Mozilla también han informado por separado otros errores críticos en sus respectivos navegadores.
No está claro qué actor de amenazas podría estar explotando actualmente CVE-2023-6345, el error que Google reveló esta semana, ni por qué. Pero en los últimos meses, Google y Apple han advertido sobre proveedores de productos de vigilancia comercial que explotan bugs zero-day en sus respectivas tecnologías de navegadores para instalar spyware en dispositivos Android, iOS y otros dispositivos móviles. Google descubrió CVE-2023-4863 después de que investigadores de Apple y Citizen Lab de la Universidad de Toronto informaran a la compañía sobre un proveedor comercial que utilizaba la falla para instalar el spyware Predator en dispositivos Android e iOS.
Uso Ubicuo
Gran parte del creciente interés de los atacantes en los navegadores se debe a su uso ubicuo, dice Lionel Litty, arquitecto jefe de seguridad en Menlo Security. El explosivo uso de aplicaciones web ha llevado a que los usuarios pasen la mayor parte de su tiempo en navegadores para todo, desde acceder a aplicaciones y páginas web hasta contenido adicional como PDF y otros documentos. A esto se suma el impulso de Google por integrar aún más funciones en su navegador y convertirlo en un reemplazo de tecnologías de cliente pesado, dice Litty. Esto incluye habilitar el acceso a dispositivos USB, Bluetooth e incluso la GPU a través de la interfaz WebGPU.
"A pesar de todo el cuidado tomado por los ingenieros de Google, seguimos viendo una corriente constante de problemas de seguridad que son explotables, incluyendo muchos zero-days que realmente se explotan", dice.
El hecho de que varios navegadores estén basados en Chromium es otra razón por la que los atacantes apuntan a la tecnología, señala Litty. "Desarrollar un exploit contra Chrome generalmente significa que funcionará contra todos los navegadores, excepto Safari y Firefox, lo que permite a los actores malintencionados dirigirse a más víctimas sin ningún trabajo adicional".
Saeed Abbasi, gerente de investigación de vulnerabilidades y amenazas en Qualys, señala razones similares para la creciente popularidad de Chrome entre los actores de amenazas. "Además, el alto valor comercial de explotar una plataforma ampliamente utilizada como Chrome atrae a atacantes sofisticados, incluidos aquellos respaldados por patrocinadores estatales", dice.
Más en general, las vulnerabilidades de los navegadores presentan riesgos significativos para las organizaciones, dice Abbasi. Los atacantes pueden utilizar errores de navegadores para introducir malware y spyware en una organización. Además, los atacantes podrían explotar estas debilidades para robar credenciales de inicio de sesión y otros datos para futuros ataques potenciales.
"Para mitigar los riesgos de las vulnerabilidades del navegador, las organizaciones deben dar prioridad a las actualizaciones regulares y la gestión de parches para mantener los navegadores actualizados", señala Abbasi. "Implementar la segmentación de red puede restringir el acceso del navegador a áreas sensibles, reduciendo los impactos de las violaciones".
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario