Vulnerabilidades zero-day no Google Chrome expõem usuários a riscos

O Google Chrome, o navegador web mais popular do mundo, tem sido alvo de uma série de ataques zero-day nos últimos meses. Essas vulnerabilidades, anteriormente desconhecidas e sem patches disponíveis, são exploradas por invasores para comprometer computadores e dispositivos dos usuários. Em 2023, o Google já corrigiu cinco vulnerabilidades zero-day sendo ativamente exploradas no Chrome, destacando os riscos contínuos enfrentados pelos usuários deste navegador omnipresente.

A mais recente, divulgada em 27 de setembro, é um estouro de buffer no heap na codificação VP8 da biblioteca de codec de vídeo open source libvpx. Segundo o Google, essa vulnerabilidade (CVE-2023-5217) foi reportada por Clément Lecigne do Google Threat Analysis Group (TAG) e está sendo ativamente explorada. Exploits de estouro de buffer podem levar a travamentos de aplicativos e execução arbitrária de código, impactando disponibilidade e integridade.

Maddie Stone, também pesquisadora do Google TAG, revelou no Twitter que essa zero-day está sendo abusada por um fornecedor comercial de spyware para atacar indivíduos de alto risco. Embora o Google não tenha fornecido detalhes, é provável que a vulnerabilidade esteja sendo usada em ataques direcionados de governos e ameaças persistentes avançadas (APTs).

Essa zero-day se soma a outra (CVE-2023-4863) corrigida pelo Google duas semanas antes, a quarta zero-day explorada ativamente desde o início do ano. Inicialmente relatada como uma falha no Chrome, foi posteriormente identificada como uma vulnerabilidade crítica no libwebp, uma biblioteca usada pelo Chrome, Firefox, Edge e outros softwares.

Esse padrão de múltiplas zero-days sendo exploradas e corrigidas em um curto período destaca os esforços contínuos de invasores sofisticados para encontrar e abusar de vulnerabilidades em navegadores e bibliotecas amplamente usadas.

Agências governamentais alertam para risco de nova zero-day

Recentemente, a Agência de Segurança Cibernética e Infraestrutura (CISA) dos Estados Unidos adicionou a vulnerabilidade CVE-2023-5217 ao seu Catálogo de Vulnerabilidades Conhecidas Exploradas, com base em evidências de exploração ativa.

A Diretiva Operacional Obrigatória 22-01 da CISA exige que agências governamentais corrijam essas vulnerabilidades críticas dentro de prazos determinados, a fim de proteger suas redes.

Usuários precisam atualizar navegadores com urgência

A descoberta de tantas zero-days destaca a importância crucial de atualizar navegadores e softwares relacionados assim que patches forem disponibilizados. Usuários que não atualizam prontamente ficam vulneráveis, pois invasores buscam weaponizar zero-days antes que elas sejam corrigidas.

Felizmente, o Google Chrome possui atualização automática habilitada por padrão, o que ajuda a proteger a maioria dos usuários. No entanto, em outros navegadores e softwares, os usuários precisam verificar manualmente por atualizações.

Deixar de aplicar patches de segurança críticos, mesmo por alguns dias, pode ser extremamente arriscado. Uma vez que detalhes técnicos de zero-days se tornam públicos, ameaças cibernéticas podem criar exploits e lançar ataques em grande escala antes que a maioria dos usuários esteja protegida.

Portanto, é essencial atualizar navegadores como Chrome, Firefox e Edge, bem como outros softwares afetados por essas vulnerabilidades, o mais rápido possível. Usuários também devem adotar bons hábitos digitais, como desconfiar de links e anexos suspeitos, usar autenticação multifator e realizar backups regulares.

Problemas sistêmicos exigem soluções de longo prazo

O surgimento contínuo de zero-days destaca problemas mais profundos em softwares amplamente adotados que vão além de simplesmente aplicar patches. É improvável que ameaças sofisticadas desistam de buscar vulnerabilidades nesses alvos atraentes.

Portanto, são necessárias soluções de longo prazo, como reescrever códigos antigos, adotar práticas modernas de desenvolvimento seguro, realizar auditorias de segurança e fuzzing contínuos.  Bibliotecas open source como libvpx e libwebp, usadas em vários softwares, precisam de atenção especial devido à ampla área de ataque.

Soluções proativas são cruciais

Além de atualizar patches, as organizações devem adotar abordagens proativas para identificar e mitigar riscos de vulnerabilidades. Ferramentas de gestão de vulnerabilidades que incluem varredura autenticada possibilitam a detecção contínua de falhas em ativos críticos. Isso permite que as equipes de segurança priorizem e corrijam proativamente vulnerabilidades com base no nível de risco, antes que sejam exploradas por invasores. Um processo sólido de gestão de vulnerabilidades é essencial para se defender contra ameaças em constante evolução que miram softwares amplamente utilizados.

Quer amadurecer seu programa de segurança cibernética através do gerenciamento de vulnerabilidades? Conheça a EcoTrust, a #1 plataforma SaaS de Inteligência em Riscos Cibernéticos, que através da identificação e priorização de riscos cibernéticos críticos para o negócio, ajuda empresas a serem mais resilientes a ataques cibernéticos. Agende uma demo aqui