Nuevo zero-day de Chrome está siendo explotado activamente – ¡debes actualizar ya!
Atención, estimado lector, si estás utilizando el navegador Google Chrome en tus computadoras con Windows, Mac o Linux, debes actualizar inmediatamente. Tienes que actualizar tu software de navegación web inmediatamente a la última versión que Google lanzó hoy.
Google lanzó hoy la versión 86.0.4240.111 de Chrome para corregir varios problemas de seguridad de alta gravedad. Entre estos problemas está incluida una vulnerabilidad de día cero (zero-day) que los atacantes han explotado en el entorno para secuestrar computadoras específicas.
La vulnerabilidad ha sido identificada como CVE-2020-15999. Dicha vulnerabilidad explotada activamente es un tipo de falla de corrupción de memoria llamada desbordamiento de búfer en Freetype. Freetype es una popular biblioteca de desarrollo de software de código abierto para renderizar fuentes que vienen empaquetadas con Chrome.
La vulnerabilidad fue descubierta y reportada por el investigador de seguridad Sergei Glazunov de Google Project Zero el 19 de octubre. Esta estaba sujeta a un plazo de divulgación pública de siete días debido a que la falla está bajo explotación activa.
Glazunov también informó inmediatamente de la vulnerabilidad de día cero a los desarrolladores de FreeType. Ellos desarrollaron un parche de emergencia para abordar el problema el 20 de octubre con el lanzamiento de FreeType 2.10.4.
Sin revelar detalles técnicos de la vulnerabilidad, el líder técnico de Google Project Zero, Ben Hawkes, advirtió en Twitter de la vulnerabilidad. Advirtió que el equipo solo ha detectado un exploit dirigido a usuarios de Chrome. No obstante, es posible que otros proyectos que usan FreeType también sean vulnerables. Por lo tanto, se les recomienda implementar la corrección incluida en FreeType versión 2.10.4.
Exploit
“Si bien solo vimos un exploit para Chrome, otros usuarios de freetype deberían adoptar la solución que se describe aquí: https://savannah.nongnu.org/bugs/?59308. La solución también se encuentra en la versión estable de FreeType 2.10.4 de hoy,” declaró Hawkes.
Según los detalles compartidos por Glazunov, la vulnerabilidad existe en la función “Load_SBit_Png” de FreeType, que procesa imágenes PNG incrustadas en fuentes. Los atacantes pueden aprovecharlo para ejecutar código arbitrario simplemente utilizando fuentes diseñadas específicamente con imágenes PNG incrustadas.
“El problema es que libpng usa los valores originales de 32 bits, que se guardan en` png_struct`. Por lo tanto, si el ancho y/o alto originales son mayores que 65535, el búfer asignado no podrá ajustarse al mapa de bits,” explicó Glazunov.
Glazunov también publicó un archivo de fuentes con un exploit de prueba de concepto.
Google lanzó Chrome 86.0.4240.111 como la versión “estable” de Chrome, que está disponible para todos los usuarios, no solo para los primeros usuarios en actualizar. Afirmó que la compañía está al tanto de los informes de que “existe un exploit para CVE-2020-15999 en el entorno”. Pero no reveló más detalles de los ataques activos.
Además de la vulnerabilidad de día cero de FreeType, Google también corrigió otras cuatro vulnerabilidades en la última actualización de Chrome. Tres son vulnerabilidades de alto riesgo: un error de implementación inapropiado en Blink, un error en archivos multimedia de Chrome y una vulnerabilidad en PDFium. También existe un riesgo medio al usar la función de impresión del navegador.
Aunque el navegador web Chrome notifica automáticamente a los usuarios sobre la última versión disponible, no debes esperar. Te recomendamos que actives manualmente el proceso de actualización yendo a “Ayuda → Acerca de Google Chrome” en el menú.
