En estos meses, se han descubierto varias vulnerabilidades en Google Chrome, la más grave de las cuales podría permitir la ejecución de código arbitrario. Dependiendo de los privilegios asociados con la aplicación, un atacante podría ver, cambiar o eliminar datos.
Google ha publicado recientemente una nueva versión de Chrome, 89.0.4389.90, que incluye parches para 5 vulnerabilidades de severidad alta. En la publicación de marzo, Google advierte que la vulnerabilidad con CVE-2021-21193 está siendo explotada activamente y, que existe una PoC (video) de la CVE-2021-21123, corregida en enero y por la cual Google pagó U$S5000 en premios.
Por eso se pide los usuarios a actualizar a la mayor brevedad posible.
Vulnerabilidad en Android
Google ha revelado que se está explotando una vulnerabilidad (ahora parcheada) que afecta a los dispositivos Android que usan conjuntos de chips de Qualcomm para lanzar ataques dirigidos.
Identificada como CVE-2020-11261 (CVSS puntuación 8.4), la falla se refiere a un problema de «validación de entrada incorrecta» en el componente de gráficos de Qualcomm que podría explotarse cuando una aplicación diseñada por un atacante solicita acceso a una gran parte de la memoria del dispositivo. CVE-2020-11261 fue descubierto e informado a Qualcomm por el equipo de seguridad de Android de Google el 20 de julio de 2020, después de lo cual se solucionó en enero de 2021.
«Hay indicios de que CVE-2020-11261 puede estar bajo una explotación limitada y dirigida», dijo el gigante en un boletín de seguridad actualizado de enero el 18 de marzo.
Vale la pena señalar que el vector de acceso para la vulnerabilidad es «local», lo que significa que la explotación requiere acceso local al dispositivo. En otras palabras, para lanzar un ataque exitoso, el actor malintencionado debe tener acceso físico al teléfono vulnerable o usar otros medios, por ejemplo, un Watering Hole, para entregar el código malicioso y desencadenar el ataque.
Si bien no se han revelado detalles específicos sobre los ataques, la identidad del atacante y las víctimas objetivo, no es inusual que Google no comparta dicha información para evitar que otros actores de la amenaza aprovechen la vulnerabilidad.
En todo caso, el desarrollo subraya una vez más la necesidad de instalar rápidamente actualizaciones de seguridad mensuales tan pronto como estén disponibles para evitar que los dispositivos Android sean explotados.
