Se trata de una vulnerabilidad bautizada como “0.0.0.0. Day”, y según confirma Oligo Segurity, esta permite que los “sitios web maliciosos eludan la seguridad del navegador e interactúen con servicios que se ejecutan en la red local de una organización”. Esto, a su vez, permite que los atacantes puedan acceder de forma no autorizada a servicios locales fuera de la red para atacar los sistemas.

Este problema surge por una IP inocua: la 0.0.0.0, que los navegadores utilizan en algunos casos: como cuando el navegador tiene que asignar una dirección IP por primera vez hasta que la dirección real del dispositivo y la red esté disponible. Y los atacantes habrían estado aprovechando esta vulnerabilidad para acceder a servicios locales y ejecutar códigos maliciosos, puesto a que, de costumbre, las direcciones IP son aleatorias, por lo que es prácticamente imposible hacer coincidir una numeración. 

Qué navegadores están afectados y cómo protegerse de la vulnerabilidad

Oligo Security asegura que se trata de una vulnerabilidad de largo alcance, y que no solo afecta a organizaciones, sino también a usuarios particulares. Los navegadores afectados son Chromium, de Google; Firefox, de Mozilla; y Safari, de Apple. Eso sí, solo afecta a dos sistemas operativos: macOS y Linux. Por tanto, los usuarios y administraciones que utilizan equipos Windows pueden estar tranquilos. 

En cualquier caso, tanto Apple como Google ya han confirmado estar trabajando o tener listo un parche de seguridad que solvente esta vulnerabilidad. Google, por ejemplo, está está bloqueando el acceso a la IP 0.0.0.0 (Finch Rollout) en Chromium 128, y lo hará más adelante en versiones posteriores. En unas semanas, la IP quedaría bloqueada por completo para todos los usuarios de Chrome y Chrimium.

Apple, por su parte, también ha realizado cambios en WebKit con tal de bloquear el acceso a 0.0.0.0. Además, la compañía bloqueará todas las webs que intenten enviar solicitudes maliciosas a través de esta dirección. Se espera que el parche llegue con Safari 18, que estará disponible en iOS 18, versión que llegará a partir de septiembre. La actualización también afectará a Safari para macOS y iPadOS. Mozzilla, por el momento, solo ha confirmado que están investigando la vulnerabilidad.

Fuentes:

https://hipertextual.com/2024/08/vulnerabilidad-0-0-0-0-el-fallo-de-seguridad-que-afecta-a-todos-los-navegadores-web-desde-hace-18-anos