Google ha rilasciato un aggiornamento per il browser Chrome con cui ha corretto una vulnerabilità zero-day tracciata come CVE-2022-4262 e per la quale risulta essere già disponibile in rete un exploit che potrebbe consentire ad eventuali aggressori di sfruttarla per eseguire codice arbitrario.
Sebbene Google abbia dichiarato di aver rilevato attacchi che sfruttano questo zero-day, non ha ancora condiviso dettagli tecnici o informazioni relative a questi incidenti, in attesa che la maggior parte degli utenti applichino l’aggiornamento al browser: una precauzione per evitare che altri attori di minaccia possano sfruttarla causando il dilagare degli attacchi.
La nuova versione 108.0.5359.94/.95 di Chrome è stata resa disponibile nel canale Stable Desktop per gli utenti Windows, Mac e Linux e raggiungerà l’intera base di utenti entro pochi giorni o settimane. Il browser web controllerà automaticamente la presenza del nuovo aggiornamento e lo installerà al riavvio successivo senza richiedere l’interazione dell’utente.
Vista la gravità della vulnerabilità è però consigliabile aggiornare quanto prima il browser scaricando e installando manualmente il file di installazione dal sito ufficiale.
Indice degli argomenti
I dettagli della nuova vulnerabilità zero-day in Chrome
La nuova vulnerabilità zero-day in Google Chrome è la nona dall’inizio dell’anno che risulta essere sfruttata in natura e patchata:
- CVE-2022-0609, identificata il 14 febbraio 2022;
- CVE-2022-1096, identificata il 25 marzo 2022;
- CVE-2022-1364, identificata il 14 aprile 2022;
- CVE-2022-2294, identificata il 4 luglio 2022;
- CVE-2022-2856, identificata il 17 agosto 2022;
- CVE-2022-3723, identificata il 28 ottobre 2022;
- CVE-2022-4135, identificata il 25 novembre 2022.
Secondo lo CSIRT Italia, la stima d’impatto della nuova vulnerabilità zero-day è grave/rosso (77,94/100).
Il problema di sicurezza è stato identificato nel motore JavaScript Chrome V8: si tratta di un bug “Type Confusion” che consente l’accesso a una risorsa in memoria utilizzando un file di tipo incompatibile.
Lo sfruttamento di questo tipo di vulnerabilità porta, di solito, a un crash del browser a causa di una situazione di Denial of Service (DoS) dovuta a un processo di lettura o scrittura in memoria al di fuori dei limiti del buffer, ma un attaccante potrebbe anche sfruttarla per eseguire codice arbitrario.
Come mitigare il rischio
Come dicevamo, l’unica misura di mitigazione consiste nell’aggiornare tempestivamente Google Chrome per Windows, Mac e Linux all’ultima versione disponibile.
