Google ha confirmado que se está explotando activamente una vulnerabilidad de seguridad de día cero en su navegador web Chrome y ha emitido una actualización de seguridad de emergencia rara en respuesta. Aunque las actualizaciones de seguridad de Chrome no son, per se, las más raras de las bestias, las actualizaciones que solucionan una vulnerabilidad de 0Day solitaria y explotada activamente están lejos de ser la norma. Puede estar seguro de que cuando cae una actualización de seguridad de emergencia, es hora de tomarla en serio y asegurarse de que su navegador esté protegido.
Google publica una actualización de seguridad de emergencia para Chrome
En un anuncio del 5 de junio publicado en el blog de lanzamientos de Chrome, Google confirma que la aplicación de escritorio se actualizó a la versión 114.0.5735.106 para Mac y Linux y 114.0.5735.110 para Windows. Todo lo cual, dice Google, «se implementará en los próximos días/semanas».
Aunque el anuncio dice que se incluyen dos correcciones de seguridad en esta actualización, solo se detalla una: CVE-2023-3079 . El otro cae en la rutina encontrada por la categoría de fuzzing y auditorías internas, y estos nunca se consideran lo suficientemente importantes como para detallarlos en las publicaciones de actualización.
¿Qué es CVE-2023-3079?
CVE-2023-3079 es una vulnerabilidad de confusión de tipos en el motor JavaScript V8 y el Grupo de análisis de amenazas de Google descubrió la vulnerabilidad. Si bien esa es toda la información técnica que Google está publicando en este momento para dar tiempo a que la actualización se implemente primero para la mayor cantidad de usuarios posible, hay un detalle publicado que es crítico. «Google es consciente de que existe un exploit para CVE-2023-3079».
Lo que significa que no debe jugar el juego de la espera, sino verificar que su navegador se haya actualizado. El solo hecho de ir a verificar su número de versión de Chrome iniciará una descarga e instalación de la actualización de seguridad si ya le ha llegado. Sin embargo, para activar la actualización, debe reiniciar el navegador. Este último punto es crucial para aquellos de ustedes que tienden a ejecutar con docenas de pestañas abiertas y rara vez cierran el navegador.
CVE-2023-3079 representa un riesgo significativo para los usuarios, dice un experto
CVE-2023-3079 es el tercer día cero de 2023 para Google Chrome. Plantea un riesgo significativo, según Mike Walters, vicepresidente de investigación de vulnerabilidades y amenazas en Action, especialistas en gestión de parches basada en riesgos.
«Las vulnerabilidades de Type Confusion representan un riesgo significativo», dice Walters, «permitiendo a los atacantes ejecutar código arbitrario en máquinas objetivo al explotar las debilidades en el manejo de objetos de memoria».
Esto se debe a que los objetos dentro del motor V8 son, explica Walters, “tipos asignados en función de su tipo de datos subyacente. Sin embargo, debido a fallas en la implementación de los mecanismos de verificación de tipos, un actor malintencionado puede engañar al motor de JavaScript para que trate una variable como un tipo diferente al que realmente es”. El resultado final es que es posible que un actor malintencionado ejecute potencialmente código arbitrario.
“Se recomienda encarecidamente a los usuarios que actualicen rápidamente sus navegadores para mitigar cualquier riesgo potencial”, concluye Walters.
Cómo aplicar el parche de seguridad de Google Chrome ahora
Dirígete a la opción Ayuda|Acerca de en el menú de Google Chrome y, si la actualización está disponible, comenzará a descargarse automáticamente. La actualización puede tardar unos días en llegar a todos, así que ten paciencia si aún no la ves. Además, recuerde lo que escribí anteriormente y reinicie su navegador después de que se haya instalado la actualización, o no se activará y seguirá siendo vulnerable a los ataques.
¿Has encontrado a este artículo interesante? Puedes seguirnos en Facebook , Twitter y LinkedIn para leer más contenido que publicamos o contáctanos.