Google parchea el día cero “in-the-wild” de Chrome ¡actualiza ya!

La última actualización de Google para el navegador Chrome corrige un número variable de errores, dependiendo de si estás en Android, Windows o Mac, y dependiendo de si estás ejecutando el “canal estable” o el “canal estable ampliado“.

No te preocupes si encuentras la plétora de publicaciones del blog de Google confusa, a nosotros también nos lo parece, así que hemos intentado hacer un resumen.

El canal estable es la última versión, que incluye todas las nuevas características del navegador, y que actualmente lleva el número 103 en Chrome.

El canal estable ampliado se identifica como Chrome 102, y no tiene las últimas características pero sí las últimas correcciones de seguridad.

En los tres boletines mencionados aparecen tres fallos con numeración CVE:

• CVE-2022-2294: Desbordamiento del búfer en WebRTC. Un agujero de día cero, ya conocido por los cibercriminales y que está siendo explotado activamente. Este fallo aparece en todas las versiones enumeradas anteriormente: Android, Windows y Mac, tanto en la versión “estable” como en la “estable extendida”. WebRTC es la abreviatura de “web real-time communication” (comunicación en tiempo real a través de la web), que se utiliza en muchos servicios de audio y vídeo compartidos, como los de reuniones remotas, seminarios web y llamadas telefónicas online.
• CVE-2022-2295: Confusión de tipos en V8. El término V8 se refiere al motor JavaScript de Google, utilizado por cualquier sitio web que incluya código JavaScript, lo que, en 2022, son casi todos los sitios web. Este fallo aparece en Android, Windows y Mac, pero aparentemente sólo en el canal estable.
• CVE-2022-2296: Use-after-free en Chrome OS Shell. Este parche se aplica al “canal estable” en Windows y Mac, aunque el shell de Chrome OS es, como su nombre indica, parte de Chrome OS, que no está basado en Windows ni en Mac.

Además, Google ha aplicado un parche contra un grupo de fallos no numerados por el CVE que se han etiquetado colectivamente con el ID de fallo 1341569.

Estos parches proporcionan una serie de correcciones proactivas basadas en “auditorías internas, fuzzing y otras iniciativas”, lo que muy probablemente significa que no eran conocidos previamente por nadie más, y por lo tanto nunca fueron (y ya no pueden ser) convertidos en agujeros de día cero, lo cual es una buena noticia.

Los usuarios de Linux aún no han sido mencionados en los boletines de este mes, pero no está claro si esto se debe a que ninguno de estos fallos se aplica a la base de código de Linux, porque los parches aún no están listos para Linux, o porque los fallos no se consideran lo suficientemente importantes como para obtener correcciones específicas para Linux.

Tipos de errores explicados

Os ofrecemos un glosario muy escueto de las categorías de errores importantes anteriores:

• Desbordamiento del búfer. Esto significa que los datos suministrados por un atacante se vierten en un bloque de memoria que no es lo suficientemente grande para la cantidad que se envió. Si los datos extra terminan “desbordándose” en el espacio de memoria ya utilizado por otras partes del software, puede (o en este caso, lo hace) afectar deliberadamente y a traición el comportamiento del navegador.
• Confusión de tipos. Imagina que estás suministrando datos como “precio del producto” que el navegador debe tratar como un simple número. Ahora imagina que puedes engañar al navegador para que utilice el número que acabas de suministrar como si fuera una dirección de memoria o una cadena de texto. Un número que pasó la comprobación para asegurarse de que era un precio legal probablemente no es una dirección de memoria o una cadena de texto válida, y por lo tanto no habría sido aceptada sin el truco de colarlo bajo la apariencia de un tipo de datos diferente. Al introducir datos que son “válidos cuando se comprueban, pero inválidos cuando se utilizan”, un atacante podría subvertir deliberadamente el comportamiento del navegador.
• Use-after-free. Esto significa que una parte del navegador sigue utilizando incorrectamente un bloque de memoria después de haber sido devuelto al sistema para su reasignación en otro lugar. Como resultado, los datos que ya han sido comprobados en cuanto a su seguridad (por el código que asume que es “dueño” de la memoria en cuestión) podrían terminar modificados sigilosamente justo antes de ser utilizados, afectando así de forma maliciosa el comportamiento del navegador.

¿Qué hacer?

Es probable que Chrome se actualice por sí mismo, pero siempre recomendamos comprobarlo de todos modos.

En Windows y Mac, utiliza Más > Ayuda > Acerca de Google Chrome > Actualizar Google Chrome.

En Android, comprueba que tus aplicaciones de Play Store están actualizadas.

Tras la actualización, busca la versión 102.0.5005.148 si estás en la versión “estable ampliada”; 103.0.5060.114 si estás en la “estable”; y 103.0.5060.71 en Android.

En Linux, no estamos seguros de cuál es el número de versión que hay que buscar, pero de todos modos deberías hacer Ayuda > Acerca de > Actualizar, para asegurarte de que tienes la última versión disponible en este momento.