Google, cuyo equipo de búsqueda de vulnerabilidades, Project Zero, a menudo es sorprendentemente locuaz al describir y discutir vulnerabilidades de software, ha adoptado un enfoque muy silencioso sobre un error recién parcheado en su navegador Chrome.
En este caso, el anuncio de bajo perfil es comprensible, porque el parche corrige un agujero del que los ciberdelincuentes aparentemente ya están abusando:
Stable Channel Update for Desktop
Thursday, February 4, 2021
CVE-2021-21148: Heap buffer overflow in V8.
Reported by Mattias Buelens on 2021-01-24
Google is aware of reports that an exploit
for CVE-2021-21148 exists in the wild.
La frase “exists in the wild” se puede traducir como “los delincuentes encontraron esta vulnerabilidad antes que nosotros y ya la están usando en ataques reales”.
Esta situación también se conoce como día cero, o día 0, porque pasaron cero días entre que incluso el usuario más diligente podría haber parcheado antes que atacaran los ciberdelincuentes.
En pocas palabras, la palabra exploit se refiere a cualquier truco que permita a un atacante abusar activamente de una vulnerabilidad de software y, por lo tanto, realizar algún tipo de actividad no autorizada antes de que exista una solución para esa vulnerabilidad.
Ejecución remota de código
Afortunadamente, aunque todos los desbordamientos de búfer y errores similares pueden considerarse vulnerabilidades, no todos pueden explotarse de manera exitosa.
Por ejemplo, muchos (si no la mayoría) de los desbordamientos de búfer podrían hacer que un programa se cierre inesperadamente con un error o incluso que se bloquee sin el mensaje de error correspondiente, pero sin causar nada más peligroso que eso.
A veces, sin embargo, se puede abusar de un desbordamiento del búfer no solo para bloquear el programa afectado, sino también para controlar su flujo de ejecución antes de que el sistema operativo, o cualquier otro software de seguridad, pueda detectar y controlar el bloqueo.
Eso se conoce como ejecución remota de código, o RCE, y actualmente las vulnerabilidades de RCE en los navegadores valen mucho dinero porque proporcionan una oportunidad ideal para realizar ciberataques exitosos.
Esto se debe a que los navegadores pasan la mayor parte del tiempo descargando, decodificando, renderizando y mostrando archivos desconocidos y que no son de confianza desde cualquier lugar de Internet.
Los ciberdelincuentes con acceso a un exploit RCE del navegador, por ejemplo, uno que pueda ser activado por un archivo de imagen malicioso o un documento HTML intencionalmente mal formado, tienen una manera poderosa y traicionera de inyectar código de programa no autorizado en el navegador.
Simplemente visitando una página web que contiene un archivo malicioso, los ciberdelincuentes pueden engañar al navegador para que descargue, procese y ejecute su exploit.
Este tipo de ataque, que a veces se denomina como un drive-by porque se puede desencadenar simplemente al ver una página web maliciosa, pasa por alto cualquiera de las advertencias o ventanas emergentes de “¿estás seguro?” que de otra manera alertarían sobre actividad potencialmente peligrosa.
Una vez que los ciberdelincuentes llegan tan lejos, debes asumir que pueden realizar una serie de ataques adicionales, como leer datos privados del navegador, incluidas las cookies de autenticación, espiar la actividad de navegación, modificar las páginas servidas por otros sitios web e implantar malware que seguirá ejecutándose incluso después de salir del navegador atacado.
En este caso, asumimos que el exploit se activa mediante archivos JavaScript, dado que el error de desbordamiento del búfer existe en V8, que es el nombre del código de procesamiento de JavaScript utilizado por Chrome y los navegadores basados en Chromium.
¿Qué hacer?
Para comprobar qué versión tienes, haz clic en el icono de tres líneas (el “menú hamburguesa”) en la esquina superior derecha. Para Chrome, Ayuda> Acerca de Google Chrome. Para Chromium, simplemente haz clic en Acerca de Chromium.
(En cualquier navegador, también puedes poner la URL especial chrome://settings /help en la barra de direcciones).
La versión que debes tener es 88.0.4324.150 o superior.
Si no estás actualizado, usa la opción Actualizar Google Chrome en Windows o Mac para forzar una actualización.
Si utilizas Linux, tu versión de Chrome o Chromium la proporciona el fabricante de tu distribución, consulta con tu distribución para conocer los detalles de la actualización.
