Google corrige 24 vulnerabilidades con una nueva actualización de Chrome

La primera versión de canal estable de Google Chrome 105 para Windows, Mac y Linux, lanzada esta semana, contenía correcciones para 24 vulnerabilidades en versiones anteriores del software, incluida una falla "crítica" y ocho que la compañía calificó como "altas". gravedad.

Una pluralidad (nueve) de los problemas de seguridad que Google abordó con Chrome 105 fueron las llamadas vulnerabilidades de uso después de la liberación, o fallas que permiten a los atacantes usar espacios de memoria previamente liberados para ejecutar código malicioso, corromper datos y realizar otras acciones maliciosas. . Cuatro de las vulnerabilidades parcheadas fueron desbordamientos del búfer en varios componentes de Chrome, incluidos WebUI y Screen Capture.

Los atacantes suelen aprovechar los desbordamientos del búfer para diversos fines maliciosos, incluida la ejecución de código aleatorio, la sobrescritura de datos, la caída de sistemas y la activación de condiciones de denegación de servicio.

Sobrescritura del portapapeles

Un problema que Google no parece haber solucionado en los centros de actualización alrededor de los portapapeles. Según Malwarebytes, cuando los usuarios de Google Chrome (o cualquier navegador basado en Chromium) visitan un sitio web, el sitio puede enviar cualquier contenido que desee al portapapeles del sistema operativo del usuario, sin el permiso del usuario ni ninguna interacción.

"Esto significa que simplemente visitando un sitio web, los datos de su portapapeles pueden sobrescribirse sin su consentimiento o conocimiento", dijo Malwarebytes.

Esto puede provocar que los usuarios pierdan datos valiosos que podrían haber querido cortar y pegar en otro lugar y, al mismo tiempo, dar a los atacantes una oportunidad para intentar introducir código malicioso en el sistema de un usuario, dijo el proveedor de seguridad. El problema tiene que ver con la ausencia de cualquier requisito en Chrome y el navegador basado en Chromium para que los usuarios tomen medidas específicas como usar "Ctrl+C" para copiar contenido de un sitio web al portapapeles del usuario, dijo Malwarebytes.

El investigador de seguridad Jeff Johnson identificó el problema con Chrome como parte de un problema más amplio. que afecta tanto a Safari como a Firefox también. "Chrome es actualmente el peor infractor, porque el requisito de gestos del usuario para escribir en el portapapeles se rompió accidentalmente en la versión 104", dijo en un informe esta semana.

Sin embargo, la realidad es que los usuarios de otros navegadores como Firefox y Safari pueden hacer que los sitios web sobrescriban los portapapeles de su sistema más fácilmente de lo que creen, dijo Johnson. Aunque ambos navegadores requieren que los usuarios realicen alguna acción para copiar el contenido del sitio web en sus portapapeles, las acciones son mucho más amplias de lo que podrían imaginar.

Por ejemplo, acciones como centrarse en una pantalla, o presionar tecla abajo/tecla arriba y mouse abajo/mouse arriba, pueden resultar en que el contenido del sitio web se copie en el portapapeles sin el conocimiento del usuario, dijo Johnson.

El investigador señaló que los desarrolladores de Chrome ya son conscientes del problema y lo están solucionando. Google no respondió de inmediato a una solicitud de comentarios de Dark Reading.

"Los atacantes pueden abusar de este error para copiar enlaces maliciosos a los portapapeles de los usuarios, lo que podría provocar que los usuarios peguen esos enlaces en su barra de direcciones y accedan accidentalmente a sitios maliciosos", dice Ivan Righi, analista senior de amenazas cibernéticas de Digital Shadows.

“Otra forma de aprovechar este error es realizar transacciones fraudulentas en criptomonedas. Los actores de amenazas podrían aprovechar la falla junto con ataques de ingeniería social para lograr que los usuarios ingresen direcciones de billetera incorrectas para las transacciones”, dice Righi. Sin embargo, la probabilidad de que tales ataques tengan éxito es baja porque los usuarios probablemente notarán contenidos anormales en su portapapeles, afirma.

Una gran cantidad de problemas de uso después de la liberación

Mientras tanto, la única vulnerabilidad crítica (CVE-2022-3038) que Google abordó con la versión estable de Chrome 105 fue informada por un investigador de seguridad de su propio equipo de búsqueda de errores Project Zero: la falla de uso después de la liberación en el servicio de red Google Chrome da atacantes remotos una forma de ejecutar código arbitrario
o desencadenar condiciones de denegación de servicio en los sistemas de los usuarios al hacer que visiten un sitio web armado.

Los cazadores de errores externos y los investigadores de seguridad informaron sobre todas las vulnerabilidades restantes que Google abordó esta semana en Chrome. El más importante entre ellos parece haber sido CVE-2022-3039, una vulnerabilidad de alta gravedad en WebSQL que el usuario libera y que dos investigadores del Instituto de Investigación de Vulnerabilidad 360 de China informaron a Google. Los investigadores recibieron 10,000 dólares por informar del error a Google, la cantidad más alta otorgada en el conjunto actual.

Otra falla de uso después de la liberación de alto impacto en Chrome Layout le valió $9,000 al investigador de seguridad anónimo que informó del problema a Google. Las recompensas por los errores restantes oscilaron entre 1,000 y 7,500 dólares. Google aún no ha determinado recompensas por la divulgación de cuatro errores.

Como se ha convertido en una práctica estándar entre los principales proveedores, Google dijo que ha restringido el acceso a los detalles de los errores hasta que la mayoría de los usuarios tengan la oportunidad de implementar la nueva versión estable de Chrome.

"También mantendremos las restricciones si el error existe en una biblioteca de terceros de la que otros proyectos dependen de manera similar pero que aún no se han solucionado". Google dijo en un blog esta semana. Un alto ejecutivo de seguridad de Microsoft había utilizado recientemente la misma razón para explique por qué las revelaciones de errores de Microsoft también contienen pocos detalles en estos días.

Si bien es casi seguro que las correcciones de errores son la razón principal por la que los usuarios pueden querer actualizar a la versión estable de Chrome 105, la nueva versión del navegador también presenta algunas características adicionales. Estas incluyen características que permiten a los desarrolladores agregar botones de control de Windows, como cerrar, maximizar o minimizar, a aplicaciones web progresivas, una nueva API de imagen en imagen para Chrome en Android y mejoras en la API de navegación de Chrome.