Google ha implementado recientemente actualizaciones de seguridad para su navegador web Chrome con el objetivo de abordar una vulnerabilidad zero-day de alta gravedad que está siendo explotada activamente.

Esta vulnerabilidad, identificada con el código CVE-2023-7024, se describe como un fallo de buffer overflow basado en la pila en el marco WebRTC, el cual podría ser explotado para provocar bloqueos del programa o la ejecución arbitraria de código. Los investigadores Clément Lecigne y Vlad Stolyarov, del Grupo de Análisis de Amenazas (TAG) de Google, fueron acreditados por descubrir y reportar la falla el 19 de diciembre de 2023.

Con el propósito de evitar abusos adicionales, no se han revelado otros detalles sobre el defecto de seguridad. Google ha reconocido que existe un exploit para la vulnerabilidad que se está utilizando activamente.

Debido a que WebRTC es un proyecto de código abierto y también es compatible con Mozilla Firefox y Apple Safari, actualmente no está claro si la vulnerabilidad tiene algún impacto más allá de Chrome y los navegadores basados en Chromium.

Este acontecimiento representa la resolución del octavo zero-day que ha sido activamente explotado en Chrome desde el comienzo del año. Algunos de los incidentes previos incluyen:

• CVE-2023-2033 (puntuación CVSS: 8.8) – Confusión de tipos en V8.
• CVE-2023-2136 (puntuación CVSS: 9.6) – Integer overflow en Skia.
• CVE-2023-3079 (puntuación CVSS: 8.8) – Confusión de tipos en V8.
• CVE-2023-4762 (puntuación CVSS: 8.8) – Confusión de tipos en V8.
• CVE-2023-4863 (puntuación CVSS: 8.8) – Buffer overflow en WebP.
• CVE-2023-5217 (puntuación CVSS: 8.8) – Buffer overflow en la codificación vp8 en libvpx.
• CVE-2023-6345 (puntuación CVSS: 9.6) – Integer overflow en Skia.

Hasta la fecha, se han revelado un total de 26.447 vulnerabilidades en 2023, superando el número del año anterior en más de 1.500 CVE, según datos recopilados por Qualys. De estas vulnerabilidades, 115 han sido explotadas por actores de amenazas y grupos de ransomware.

Los tipos de vulnerabilidades más destacados incluyen la ejecución remota de código, el bypass de funciones de seguridad, la manipulación de buffers, la escalada de privilegios y las fallas en la validación y el análisis de la entrada.

Para mitigar posibles amenazas, se recomienda a los usuarios que actualicen a la versión 120.0.6099.129/130 de Chrome para Windows y 120.0.6099.129 para macOS y Linux.

Además, se aconseja a los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, que apliquen las correcciones tan pronto como estén disponibles. Es crucial mantenerse al día con las actualizaciones de seguridad para garantizar una experiencia de navegación segura.

Más información:

• https://cwe.mitre.org/data/definitions/122.html
• https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html
• https://blog.qualys.com/vulnerabilities-threat-research/2023/12/19/2023-threat-landscape-year-in-review-part-one