Nova vulnerabilidade no Google Chrome pode “causar danos inesperados às vítimas”

A Google já confirmou a vulnerabilidade zero day e entretanto já lançou um patch.

Tek

Há uma nova vulnerabilidade zero day execetuda no navegador Google Chrome confirmada pela própria Google. A descoberta foi da Kaspersky que já reportou à gigante tecnológica e que após a análise do PoC fornecido lançou um patch.

No comunicado, a empresa de cibersegurança fala numa vulnerabilidade conhecida como CVE-2019-13720 e que por ser zero day, logo não conhecida no software, pode ser explorada para "causar danos inesperados às vítimas". O novo exploit em concreto foi utilizado em “ataques que aproveitaram uma injeção de código malicioso num site de notícias coreano”.

"A página principal deste site foi infetada por um código Javascript malicioso que, por sua vez, carregava um script de identificação para um servidor remoto, para verificar se o sistema da vítima poderia ser infetado, examinando as versões do navegador utilizado", explica a Kaspersky.

Face a esta vulnerabilidade, a Kaspersky deixa alguns conselhos aos utilizadores, nomeadamente a instalação o mais brevemente possível do patch e a atualização regular de todos os softwares usados e sempre que um novo patch de segurança for lançado. “Os produtos de segurança com funções de avaliação de vulnerabilidades e com gestão de patch incorporadas podem ajudar a automatizar esses processos”, explica em comunicado a empresa.

Em que consistiu o ataque identificado pela Kaspersky?

Tentando explorar a vulnerabilidade no navegador Google Chrome através de um script que verificava se estava a ser utilizada a versão 65 do navegador ou a anterior, o ataque fazia com que o exploit desse ao criminoso uma condição de use-after-free (UaF). Este sistema é bastante perigoso, pois permite cenários onde “a execução de códigos maliciosos é permitida”.

Se o sistema operativo e o navegador cumprirem com os requisitos, o script descarrega o exploit por fragmentos e depois monta-o e decifra-o sendo que a primeira coisa feita pelo exploit é a comprovação da versão do Chrome. Nessa etapa, torna-se mais seletivo e funciona exclusivamente com o Chrome 76 ou 77, embora possa haver outros exploits para diferentes versões do navegador.

Depois de encontrar o que procura, o exploit tenta aproveitar a vulnerabilidade CVE-2019-13720, do tipo use-after-free que se baseia no uso inadequado da memória do computador. Ao manipular a memória, o exploit obtém permissão para ler e escrever dados no dispositivo que usa imediatamente para descarregar, decifrar e executar o malware.

Em comunicado, Anton Ivanov, especialista em segurança da Kaspersky, sublinha que a “descoberta do zero day no Google Chrome demonstra, mais uma vez, que apenas a colaboração entre a comunidade de segurança e os developers de software” nos podem manter protegidos contra ataques repentinos e ocultos. Para além disso, é preciso apostar num “investimento constante em tecnologias de prevenção”, acrescenta.

A vulnerabilidade detetada pela tecnologia Kaspersky Exploit Prevention, incorporada em dois produtos da empresa, foi usada no que os especialistas da Kaspersky chamam de "Operação WizardOpium".