Google Chrome presenta una vulnerabilidad crítica que podría provocar el colapso inmediato del navegador. Este fallo de seguridad se encuentra localizado en Browser Fetch, una función diseñada específicamente para gestionar las descargas en segundo plano.

Expertos en ciberseguridad han anticipado que todos los navegadores basados en Chromium disponen de una vulnerabilidad que permite a los ciberdelincuentes robar datos de manera silenciosa y que se activa con acciones tan sencillas como abrir una página web para hacer una consulta.

Antes de nada, conviene recordar que Chromium es un proyecto de código abierto de navegador web del que Google Chrome obtiene su código fuente y es multiplataforma. Esto significa que funciona con Windows, Linux, MacOS y Android.

Google ha descubierto recientemente que un grupo de ciberdelincuentes está explotando una vulnerabilidad advertida en el código fuente de su navegador, que amenaza a millones de personas que emplean cualquier navegador basado en el comentado proyecto.

Monitorización del navegador y ataques DoS

El gigante de Mountain View ha publicado este miércoles el código de explotación de una vulnerabilidad sin corregir y de la que se había informado hace unos meses, en la que se menciona la interfaz de programación de aplicaciones (API) Fetch.

Fetch es una API que facilita la obtención de recursos remoto y que se puede utilizar para hacer solicitudes de origen o de dominio cruzado o CORS, por sus siglas en inglés. Asimismo, este estándar permite la descarga de vídeos largos y otros archivos en segundo plano, tal y como sostienen desde Ars Technica.

De esta manera, un atacante podría usar esta vulnerabilidad para crear una conexión que le permita monitorizar ciertos aspectos del navegador, como la manera en que el usuario lo está utilizando. Asimismo, puede lanzar ataques de denegación de servicio.

Este tipo de ataque, conocidos como DoS, están pensados para inutilizar un sistema, servidor o red, a fin de que los usuarios legítimos no tengan posibilidad de acceder a ellos para consultar o recuperar sus documentos.

Una vulnerabilidad que lleva dos años en activo

Desde el comentado medio especializado, han señalado que fuentes relacionadas con Google han confirmado que la vulnerabilidad lleva 29 meses en activo. Además de su persistencia, han señalado que esta brecha podía permitir a un atacante incorporar miles de dispositivos a la red maliciosa.

De esa manera, una vez que se descubriera otra vulnerabilidad en el sistema —teniendo en cuenta que ésta tenía la clasificación de vulnerabilidad grave—, el atacante podría utilizarla para comprometer todos los dispositivos dependientes de dicha red.

"Lo peligroso aquí es que puedes tener muchos navegadores diferentes juntos y, en el futuro, ejecutar algo que descubras", ha matizado Lyra Rebane, que es investigadora independiente y se encargó de descubrir la vulnerabilidad a finales de 2022.

Lo grave es que, a pesar de que Google era conocedora de esta brecha, no informó debidamente a los desarrolladores de Chromium y, aunque lo ha dado a conocer como vulnerabilidad parcheada, la propia Rebane ha advertido que aún hay flecos por pulir.

Si bien "no está sucediendo nada grave a gran escala", tal y como ha concretado otro desarrollador que no ha sido identificado", esta vulnerabilidad sigue suponiendo un riesgo para los usuarios de Brave, Vivaldi y Opera. Safari y Firefox, en cambio, no se ven afectadas por ella.