Google publica una actualización de Chrome para corregir un nuevo fallo de día cero

Google ha publicado un parche de emergencia para corregir una vulnerabilidad de día cero explotada en la naturaleza. Registrado como CVE-2022-3075, el fallo de día cero fue descubierto e informado el 30 de agosto de 2022 por un investigador anónimo.

El fallo consiste en una insuficiente validación de datos en Mojo. Se trata de una colección de bibliotecas en tiempo de ejecución que proporcionan un mecanismo independiente de la plataforma para la comunicación entre procesos (IPC).

Google admitió que "es consciente de los informes de que un exploit para CVE-2022-3075 existe en la naturaleza". Sin embargo, el gigante tecnológico no proporcionó detalles adicionales sobre la naturaleza de los ataques que puedan ayudar a los usuarios a evitar que otros actores de amenazas exploten el fallo.

Google pide a los usuarios que actualicen a la versión 105.0.5195.102 para Windows, macOS y Linux para mitigar las amenazas inminentes. Se recomienda a los usuarios de navegadores basados en Chromium, como Microsoft Edge, Brave, Opera y Vivaldi, que apliquen las correcciones en cuanto estén disponibles.

La actualización la convierte en la sexta vulnerabilidad de día cero en Chrome que Google ha parcheado desde principios de año. Los otros cinco fallos son CVE-2022-0609, CVE-2022-1096, CVE-2022-1096, CVE-2022-1364, CVE-2022-2294 y CVE-2022-2856.

CVE-2022-0609 es una vulnerabilidad user-after-free en el componente Animation que, si se explota con éxito, podría provocar la corrupción de datos válidos y la ejecución de código arbitrario en los sistemas afectados.
CVE-2022-1096 es un fallo de día cero descrito como una vulnerabilidad de tipo de confusión en el motor V8 JavaScript.

CVE-2022-1364 es similar a CVE-2022-1096, ya que también es un fallo de confusión de tipos en el motor JavaScript V8.

CVE-2022-2294 es un fallo de desbordamiento de heap en el componente WebRTC que proporciona capacidades de comunicación de audio y vídeo en tiempo real en navegadores sin necesidad de instalar plugins o descargar aplicaciones nativas.

CVE-2022-2856 es un caso de validación insuficiente de entradas no fiables en Intents.

Las fuentes de este artículo incluyen un artículo en TheHackerNews.