Google lanzó este jueves una actualización de emergencia para su navegador web Chrome, que incluye correcciones para dos vulnerabilidades de día cero que según la compañía, están siendo explotadas activamente en la naturaleza.
Rastreadas como CVE-2021-38000 y CVE-2021-38003, las vulnerabilidades se relacionan con una validación insuficiente de entradas no confiables en una función llamada Intents, así como un caso de implementación inapropiada en V8 JavaScript y WebAssembly Engine.
A Threat Analysis Group (TAG) de Google, se le atribuye el descubrimiento e informe de las dos fallas el pasado 15 de septiembre y 16 de octubre, respectivamente.
«Google es consciente de que los expoits para CVE-2021-38000 y CVE-2021-38003 existen en la naturaleza», dijo la compañía en un aviso.
Como parte de la actualización de seguridad, también se aborda una vulnerabilidad use-after-free en el componente de transporte web (CVE-2021-38002), que se demostró por primera vez en el concurso de la Copa Tianfu celebrada a inicios de este mes en China. Con estos parches, Google ha corregido un récord de 16 días cero en el navegador web desde principios de año:
- CVE-2021-21148: Desbordamiento del búfer de pila en V8
- CVE-2021-21166: Problema de ejecución de reciclaje de objetos de audio
- CVE-2021-21193: Use-after-free en Blink
- CVE-2021-21206: User-after-free en Blink
- CVE-2021-21220: Validación insuficiente de una entrada que no es de confianza en V8 para x86_64
- CVE-2021-21224: Confusión de tipos en V8
- CVE-2021-30551: Confusión de tipos en V8
- CVE-2021-30554: Use-after-free en WebGL
- CVE-2021-30563: Confusión de tipos en V8
- CVE-2021-30632: Escritura fuera de límites en V8
- CVE-2021-30633: Use-after-free en API de base de datos indexada
- CVE-2021-37973: Use-after-free en Portals
- CVE-2021-37975: Use-after-free en V8
- CVE-2021-37976: Fuga de información en el núcleo
Se recomienda a los usuarios de Chrome que actualicen a la última versión (95.0.4638.69) para Windows, Mac y Linux.
