Google publicó el miércoles un código de explotación para una vulnerabilidad no reparada en el código base del navegador Chromium que amenaza a millones de personas que usan Chrome, Microsoft Edge y casi todos los demás navegadores basados en Chromium.
El código de prueba de concepto explota la interfaz de programación Browser Fetch, un estándar que permite descargar vídeos largos y otros archivos grandes en segundo plano. Un atacante podría utilizar el exploit para crear una conexión para monitorear algunos aspectos del uso del navegador de un usuario y como proxy para ver un sitio y lanzar un ataque de denegación de servicio. Dependiendo del navegador, la conexión se volverá a abrir o permanecerá abierta incluso después de que se haya reiniciado el navegador o el dispositivo que la ejecuta.
No reparado durante 29 meses (y contando)
Las vulnerabilidades no parcheadas pueden ser explotadas por cualquier sitio web que visite un usuario. De hecho, el compromiso equivale a una puerta trasera limitada que convierte al dispositivo en parte de una botnet limitada. Sus capacidades se limitan a las mismas cosas que puede hacer un navegador, como visitar sitios maliciosos, proporcionar navegación proxy anónima por parte de otros, permitir ataques DDoS proxy y monitorear la actividad del usuario. No obstante, el exploit podría permitir a un atacante agregar miles, tal vez millones, de dispositivos en una red. Una vez que hay disponible una vulnerabilidad separada, un atacante puede usarla para comprometer todos esos dispositivos.
“La parte peligrosa aquí es que puedes combinar muchos navegadores diferentes para que en el futuro puedas ejecutar las cosas como quieras”, dijo Lyra Rebane, la investigadora independiente que descubrió la vulnerabilidad y la informó personalmente a Google a finales de 2022 en una entrevista. Dijo que usar el código de explotación publicado prematuramente por Google sería “realmente fácil”, aunque escalarlo para reunir una gran cantidad de dispositivos en una sola red requeriría más trabajo. En la serie de divulgaciones de Rebane a Google, dos desarrolladores dijeron en respuestas separadas que se trataba de una “vulnerabilidad grave”. Su gravedad está clasificada como S1, la segunda clasificación más alta.
Desde su informe hace 29 meses, la vulnerabilidad sigue siendo desconocida excepto para los desarrolladores de Chromium. Luego, el miércoles por la mañana, se publicó en el rastreador de errores de Chromium. Rebane asumió inicialmente La vulnerabilidad finalmente fue solucionada.. Muy pronto, se enteró de que, de hecho, el parche aún no había sido parcheado. Aunque Google eliminó la publicación, sigue estando disponible en el sitio de archivo, junto con el código de explotación.
