Google publica código de exploit para un error no corregido de Chromium

Google ha publicado código de exploit para una vulnerabilidad no corregida de Chromium, exponiendo a millones de usuarios de Chrome, Microsoft Edge, Brave, Opera, Vivaldi, Arc y otros browsers basados en Chromium a un riesgo que, según investigadores de seguridad, debería haber permanecido privado hasta que un parche estuviera listo. Ars Technica informó que el error afecta a la interfaz Browser Fetch y puede ser explotado por un sitio web malicioso para mantener una conexión persistente de service worker incluso después de que un browser o dispositivo se reinicie.

Esto supera el umbral para una historia de seguridad seria porque combina dos problemas a la vez: un error de browser largo sin corregir y un código de exploit público de prueba de concepto que reduce la barrera para el abuso. Según Ars Technica, el investigador que reportó el problema de forma privada a finales de 2022 dijo que el exploit publicado sería bastante fácil de usar, incluso si operarlo a gran escala aún requeriría trabajo. Eso es exactamente el tipo de brecha de divulgación que puede convertir un error de browser nicho en un riesgo operativo más amplio.

El impacto reportado no es una toma de control total del dispositivo, pero sigue siendo sustancial. El exploit puede, según informes, convertir el browser en un proxy limitado, ayudar a lanzar tráfico de denegación de servicio (DDoS) y revelar algunos patrones de actividad del browser. Dado que cualquier sitio web visitado podría potencialmente desencadenar el abuso, la superficie de ataque es inusualmente amplia. Firefox y Safari no se ven afectados porque no admiten la misma función de background-fetch, pero el ecosistema de Chromium es lo suficientemente grande como para que el riesgo abarque una gran parte de la navegación de escritorio.

La línea de tiempo hace que la historia sea más preocupante. Ars dice que la vulnerabilidad fue reportada hace 29 meses, recibió una calificación de alta severidad S1 dentro de las discusiones de Chromium, y permaneció sin parchear cuando la prueba de concepto se publicó públicamente. Aunque Google eliminó posteriormente la divulgación, se informa que copias permanecen en sitios de archivo. Eso significa que los defensores ya no controlan el flujo de información. Atacantes, investigadores y respondedores de incidentes ahora trabajan desde aproximadamente el mismo punto de partida mientras los usuarios aún esperan una solución.

La implicación práctica para las organizaciones es que el endurecimiento del browser ya no puede tratarse como un problema ligero de endpoint. Las empresas que dependen en gran medida de browsers basados en Chromium pueden necesitar estar atentas a comportamientos inexplicables en la interfaz de descarga, restringir contextos de navegación riesgosos y seguir de cerca las actualizaciones de los proveedores durante los próximos días. Esto también es otro recordatorio de que la deuda de seguridad del browser puede permanecer durante años en funciones poco utilizadas antes de volverse urgente repentinamente.

Hasta que Google y los proveedores de Chromium envíen un parche, la historia trata menos sobre pánico que sobre gestión de exposición. El código de exploit público cambia la ecuación de riesgo de inmediato. Una vez que ese código está disponible, cada día sin una solución importa más.