Zero day

All posts tagged Zero day

google_chrome-56a4010f5f9b58b7d0d4e6d9.jpg

Nueva vulnerabilidad día cero de Google Chrome está siendo activamente explotada

Deberías actualizar tu Google Chrome inmediatamente a la última versión de la aplicación de navegación web.

El investigador de seguridad Clement Lecigne del Grupo de análisis de amenazas de Google descubrió y reportó una vulnerabilidad de alta gravedad en Chrome a fines del mes pasado que podría permitir a los atacantes remotos ejecutar código arbitrario y tomar el control total de las computadoras.

La vulnerabilidad, asignada como CVE-2019-5786, afecta el software de navegación web para todos los principales sistemas operativos, incluidos Microsoft Windows, Apple macOS y Linux.

Embed from Getty Images

Sin revelar detalles técnicos de la vulnerabilidad, el equipo de seguridad de Chrome solo dice que el problema es una vulnerabilidad de uso después del uso del componente FileReader del navegador Chrome, que conduce a ataques de ejecución remota de código.

¿Qué es más preocupante?

Google advirtió que esta vulnerabilidad de RCE de día cero está siendo explotada activamente por los atacantes para atacar a los usuarios de Chrome.

“El acceso a los detalles de los errores y los enlaces puede mantenerse restringido hasta que la mayoría de los usuarios se actualicen con una solución”, señaló el equipo de seguridad de Chrome. “También mantendremos restricciones si el error existe en una biblioteca de terceros de la que otros proyectos dependen de manera similar, pero que aún no se han solucionado”.

Fuente: https://chromereleases.googleblog.com/2019/03/stable-channel-update-for-desktop.html

FileReader es una API estándar que ha sido diseñada para permitir que las aplicaciones web lean de forma asíncrona el contenido de los archivos (o buffers de datos sin procesar) almacenados en la computadora de un usuario, utilizando los objetos ‘Archivo’ o ‘Blob’ para especificar el archivo o los datos para leer.

La vulnerabilidad de uso después de la liberación es una clase de error de corrupción de memoria que permite la corrupción o modificación de los datos en la memoria, lo que permite a un usuario sin privilegios escalar privilegios en un sistema o software afectado.

La vulnerabilidad de uso después de la liberación en el componente FileReader podría permitir que los atacantes sin privilegios obtengan privilegios en el navegador web Chrome, permitiéndoles escapar de las protecciones de la zona de pruebas y ejecutar código arbitrario en el sistema seleccionado.

Parece que explota esta vulnerabilidad, todo lo que un atacante debe hacer es engañar a las víctimas para que solo abran o redirijan a una página web especialmente diseñada sin necesidad de interacción adicional.

El parche para la vulnerabilidad de seguridad ya se ha extendido a sus usuarios en una actualización de Chrome estable 72.0.3626.121 para los sistemas operativos Windows, Mac y Linux, que los usuarios pueden haber recibido o recibirán pronto en los próximos días.

Por lo tanto, asegúrese de que su sistema esté ejecutando la versión actualizada del navegador web Chrome.

¿Cómo saber qué versión de Google Chrome tienes?

Para saber qué versión de Google Chrome tienes instalada sólo deberás hacer click en la ventana Chrome > About Google Chrome. También podrás consultar la ayuda oficial de Google Chrome.

Si eres un usuario ferviente de Google Chrome, te recomiendo nuestros consejos para mantenerte seguro en Internet (edición Google).

Adaptación de un artículo publicado originalmente en: https://thehackernews.com/2019/03/update-google-chrome-hack.html

leer más
Isaul CarballarNueva vulnerabilidad día cero de Google Chrome está siendo activamente explotada