Urgente: Nueva Vulnerabilidad Zero-Day en Chrome Explotada en la Naturaleza - Actualice lo Antes Posible

Google ha lanzado actualizaciones de seguridad para el navegador web Chrome para abordar una falla zero-day de gravedad alta que, según dijo, ha sido explotada en la naturaleza.

La vulnerabilidad, identificada con el identificador CVE CVE-2023-7024, ha sido descrita como un error de desbordamiento de búfer basado en montón en el marco WebRTC que podría ser explotado para provocar bloqueos del programa o ejecución de código arbitrario.

Clément Lecigne y Vlad Stolyarov del Grupo de Análisis de Amenazas (TAG) de Google son los créditos por descubrir y reportar la falla el 19 de diciembre de 2023.

No se han divulgado otros detalles sobre el defecto de seguridad para evitar un mayor abuso, y Google reconoce que "existe un exploit para CVE-2023-7024 en la naturaleza".

Dado que WebRTC es un proyecto de código abierto y también es compatible con Mozilla Firefox y Apple Safari, actualmente no está claro si la falla tiene algún impacto más allá de Chrome y los navegadores basados en Chromium.

Este desarrollo marca la resolución del octavo zero-day explotado activamente en Chrome desde el inicio del año:

• CVE-2023-2033 (puntuación CVSS: 8.8) - Confusión de tipo en V8
• CVE-2023-2136 (puntuación CVSS: 9.6) - Desbordamiento de entero en Skia
• CVE-2023-3079 (puntuación CVSS: 8.8) - Confusión de tipo en V8
• CVE-2023-4762 (puntuación CVSS: 8.8) - Confusión de tipo en V8
• CVE-2023-4863 (puntuación CVSS: 8.8) - Desbordamiento de búfer en WebP
• CVE-2023-5217 (puntuación CVSS: 8.8) - Desbordamiento de búfer en la codificación vp8 en libvpx
• CVE-2023-6345 (puntuación CVSS: 9.6) - Desbordamiento de entero en Skia

En total, se han divulgado 26,447 vulnerabilidades hasta ahora en 2023, superando el año anterior en más de 1,500 CVE, según datos recopilados por Qualys, con 115 fallas explotadas por actores de amenazas y grupos de ransomware.

Ciberseguridad

La ejecución remota de código, el bypass de características de seguridad, la manipulación de búfer, la escalada de privilegios y las fallas en la validación y el análisis de entrada surgieron como los principales tipos de vulnerabilidades.

Se recomienda a los usuarios actualizar a la versión 120.0.6099.129/130 de Chrome para Windows y 120.0.6099.129 para macOS y Linux para mitigar posibles amenazas.

Los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, también se les aconseja aplicar las correcciones tan pronto como estén disponibles.

Fuente y créditos: Urgent: New Chrome Zero-Day Vulnerability Exploited in the Wild - Update ASAP (thehackernews.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.