Os atores da ameaça agora têm a capacidade de explorar uma nova vulnerabilidade de dia zero no navegador Chrome, aconselhou o Google aos administradores de TI.
O aviso vem depois que o Google lançou um patch para o Chrome para corrigir uma vulnerabilidade de uso após liberação de memória (CVE-2026-2441) em folhas de estilo em cascata (CSS), o que significa que o mecanismo CSS do navegador não está gerenciando a memória adequadamente e pode ser explorado por um hacker.
Se não for corrigido, permite que um invasor remoto execute código arbitrário dentro de uma sandbox por meio de uma página HTML criada. A vulnerabilidade é classificada como alta em gravidade.
Em risco estão os navegadores Windows e Mac Chrome anteriores a 145.0.7632.75/76 e anteriores a 144.0.7559.75 para Linux.
“O Google está ciente de que existe uma exploração para CVE-2026-2441”, acrescenta o aviso.
Detalhes sobre o buraco são escassos. O Google diz que o acesso aos detalhes e links do bug pode ser restrito até que a maioria dos usuários seja atualizada com uma correção. Ele também manterá as restrições se o bug existir em uma biblioteca de terceiros da qual outros projetos dependam de forma semelhante, mas ainda não tenha sido corrigida.
Gene Moody, CTO de campo da Action1, explicou que, nesta vulnerabilidade, um navegador libera um objeto, mas depois continua a usar o local de memória de referência obsoleto. Qualquer invasor que consiga moldar o layout do heap com conteúdo controlado pode potencialmente substituir o conteúdo dessa memória liberada pelos dados que ele controla. Como isso reside no renderizador e pode ser acessado por meio do conteúdo normal da página, disse ele, a superfície do gatilho é quase absoluta.
“Em termos práticos”, acrescentou ele, “um usuário vulnerável simplesmente visitando uma página maliciosa pode ser suficiente para acionar efetivamente o bug”.
Procurar e explorar vulnerabilidades do navegador é uma ferramenta popular para agentes de ameaças. Isso ocorre porque os navegadores costumam ser um ponto de entrada para as empresas, especialmente na era dos aplicativos em nuvem. Os navegadores não apenas acessam dados corporativos, mas também armazenam informações confidenciais, como credenciais de login e dados pessoais, armazenados em formulários de preenchimento automático.
Normalmente, os navegadores são fornecidos com instalação automática de patch habilitada por padrão. Alguns CSOs/CIOs, no entanto, podem preferir a instalação manual, para que os patches possam ser testados quanto à compatibilidade com aplicativos corporativos antes da instalação.
Johannes Ullrich, reitor de pesquisa do SANS Institute, disse que este é apenas o dia 0 do Chrome mais recente a ser descoberto e, com base na história, provavelmente há muitos outros já em uso que ainda não foram descobertos ou corrigidos.
“Ter um programa sólido de monitoramento de endpoints em vigor pode mitigar parte desse risco”, disse ele. Para administradores corporativos, o Google oferece o Chrome Enterprise Core, que adiciona a instrumentação necessária para monitorar versões de navegadores e lançar atualizações. O Chrome Enterprise Core também adiciona gerenciamento central para extensões. Extensões maliciosas costumam ser um problema maior do que 0 dias.”
Os navegadores são programas altamente complexos que suportam um grande número de tecnologias, acrescentou, e incluem alguns padrões legados com suporte atual limitado.
“A base de código do navegador Chromium de código aberto inclui cerca de 36 milhões de linhas de código”, destacou. “Um grande projeto como este certamente inclui vulnerabilidades. O Google tem usado uma série de ferramentas automatizadas para reduzir continuamente o número de vulnerabilidades, mas os adversários fazem o mesmo e, às vezes, encontram bugs que o Google ainda não encontrou ou ainda não conseguiu corrigir de forma proativa.”
Os dias zero do navegador nunca são bons, porque é trivial para os criminosos usarem anúncios envenenados para tentar direcionar as vítimas com navegadores vulneráveis a sites que contêm código malicioso, disse David Shipley, chefe do provedor canadense de treinamento de conscientização em segurança Beauceron Security.
“Neste caso, parece que esta é apenas uma correção parcial para a vulnerabilidade em andamento, e o Google está sendo um pouco calado sobre o quão ruim esse bug era, e todas as coisas para as quais ele poderia ser usado além de travar o navegador e corromper dados. Mas dado que existem explorações à solta, e o Google diz que está esperando até que a maioria dos usuários seja corrigida antes de entrar em mais detalhes, há claramente algo mais interessante por trás disso. ”
Obter correções para navegadores corporativos ainda não é tão fácil quanto deveria ser, acrescentou ele, e geralmente envolve ferramentas caras ou fluxos de trabalho complexos que a maioria das organizações menores não possui.
O Google, no entanto, fornece conselhos abrangentes aos administradores sobre como gerenciar atualizações do Chrome.
Este artigo foi publicado originalmente no CSOonline.
Fonte: Computer World
