Lanzamiento de RCE Exploit para navegadores Chrome, Opera y Brave sin parches

Un investigador de seguridad indio ha publicado públicamente un código de explotación de prueba de concepto (PoC) para una falla recientemente descubierta que afecta a Google Chrome y otros navegadores basados ​​en Chromium como Microsoft Edge, Opera y Brave.

Lanzado por Rajvardhan Agarwal, el exploit de trabajo se refiere a una vulnerabilidad de ejecución remota de código en el motor de renderizado de JavaScript V8 que alimenta los navegadores web. Se cree que es la misma falla demostrada por Bruno Keith y Niklas Baumstark de Dataflow Security en el concurso de piratería Pwn2Own 2021 la semana pasada.

Keith y Baumstark recibieron $ 100,000 por aprovechar la vulnerabilidad para ejecutar código malicioso dentro de Chrome y Edge.

Según la captura de pantalla compartida por Agarwal, el archivo PoC HTML y su archivo JavaScript asociado se pueden cargar en un navegador basado en Chromium para aprovechar la falla de seguridad e iniciar la aplicación de calculadora de Windows (calc.exe). Pero vale la pena señalar que el exploit debe estar encadenado con otra falla que puede permitirle escapar de las protecciones de la caja de arena de Chrome .


Parece que Agarwal pudo armar el PoC mediante la ingeniería inversa del parche que el equipo Chromium de Google impulsó al componente de código abierto después de que se compartieran los detalles de la falla con la compañía.

"Tener nuestros propios errores no estaba en mi tarjeta de bingo para 2021", tuiteó Baumstark . "No estoy seguro de que Google haya sido demasiado inteligente para agregar esa prueba de regresión de inmediato".

Si bien Google ha abordado el problema en la última versión de V8, aún no ha llegado al canal estable, lo que deja a los navegadores vulnerables a los ataques. Se espera que Google envíe Chrome 90 más tarde hoy, pero no está claro si el lanzamiento incluirá un parche para la falla del V8.

Nos hemos comunicado con Google y actualizaremos la historia si recibimos noticias.

Fuente: The Hacker News