Google ha publicado el código de prueba de concepto (PoC) de un exploit para una vulnerabilidad crítica en la base de código de Chromium. Este fallo, reportado originalmente en 2022 por la investigadora Lyra Rebane, continúa sin parchear después de más de 42 meses, lo que expone a millones de usuarios de navegadores como Chrome y Microsoft Edge a posibles abusos mediante botnets.

Google ha publicado abiertamente un código de explotación de prueba de concepto (PoC) para una vulnerabilidad crítica, aún sin parchear, en la base de código de Chromium, exponiendo potencialmente a millones de usuarios de Chrome, Microsoft Edge y otros navegadores basados en Chromium a un abuso sigiloso al estilo de una botnet.

La vulnerabilidad, reportada originalmente a finales de 2022 por la investigadora de seguridad independiente Lyra Rebane, sigue sin solucionarse después de más de 42 meses. Se le ha asignado una calificación de Prioridad 1 (P1), que indica una alta urgencia, y Severidad 2 (S2), marcándola como un problema de seguridad grave dentro del marco de clasificación de vulnerabilidades de Chromium.

El fallo reside en la API Browser Fetch, una función diseñada para permitir que las descargas grandes, como vídeos o archivos, continúen en segundo plano a través de Service Workers.

Sin embargo, Rebane descubrió que este mecanismo puede ser abusado para crear tareas persistentes que nunca terminan y que mantienen una comunicación continua con una infraestructura controlada por atacantes.

Al aprovechar este comportamiento, los atacantes pueden establecer un canal de comunicación encubierto entre el navegador de la víctima y un servidor de comando y control (C2). Notablemente, en algunas implementaciones, como Microsoft Edge, la conexión puede persistir incluso después de cerrar el navegador o reiniciar el sistema.

El exploit transforma efectivamente un navegador en un “nodo de botnet limitado” sin requerir ninguna interacción por tu parte.

La explotación requiere solo la visita a un sitio web

El vector de ataque es particularmente preocupante debido a su simplicidad. Cualquier usuario que visite un sitio web malicioso o comprometido puede ser inscrito silenciosamente en esta botnet basada en el navegador.

Según la revelación de Rebane, los atacantes pueden desplegar una página web maliciosa que contenga un Service Worker que inicie una tarea de fetch en segundo plano que nunca termine. Esto permite la ejecución continua de código JavaScript en el dispositivo de la víctima.

“Es realista obtener decenas de miles de visitas a la página para crear una ‘botnet’, y los usuarios no sabrán que se puede ejecutar JavaScript de forma remota en su dispositivo”, señaló Rebane en el informe original.

Aunque el exploit está limitado por el sandboxing del navegador, sus capacidades siguen representando un riesgo significativo a gran escala. Los posibles escenarios de abuso incluyen:

• Denegación de Servicio Distribuida (DDoS): Los navegadores comprometidos pueden ser orquestados para inundar la infraestructura objetivo con tráfico.
• Redes Proxy: Los atacantes pueden enrutar tráfico malicioso o anonimizado a través de los navegadores de las víctimas.
• Redirección de Tráfico: Los usuarios pueden ser redirigidos silenciosamente a destinos maliciosos o controlados por el atacante.
• Monitoreo de Actividad: Rastreo limitado del comportamiento de navegación y la actividad de la red.

La investigadora enfatizó que, si bien las capacidades actuales se limitan a acciones a nivel de navegador, el riesgo real reside en encadenar esta vulnerabilidad con futuros exploits. Una red preestablecida de navegadores comprometidos podría servir como plataforma de lanzamiento para ataques más avanzados una vez que se identifiquen vulnerabilidades adicionales.

La decisión de Google de publicar el código del exploit antes de lanzar un parche ha generado preocupación en la comunidad de seguridad. El PoC reduce la barrera de entrada para los actores de amenazas, haciendo que la explotación sea “bastante fácil”, según Rebane, aunque escalar las operaciones requeriría infraestructura adicional.

En el rastreador de problemas de Chromium, varios desarrolladores reconocieron la gravedad del fallo, describiéndolo como una “vulnerabilidad seria”. A pesar de esto, no se ha implementado ninguna corrección completa hasta el momento de escribir esto.

Plataformas Afectadas

• Google Chrome
• Microsoft Edge
• Brave Browser
• Opera
• Otros navegadores basados en Chromium

Hasta que se publique un parche oficial, tú y tu organización deberían considerar las siguientes mitigaciones:

• Restringir el uso de Service Workers mediante políticas de navegador empresariales donde sea posible.
• Desactivar las funciones de fetch en segundo plano si son configurables.
• Utilizar monitoreo a nivel de red para detectar conexiones salientes anómalas del navegador.
• Implementar tecnologías de aislamiento de navegador en entornos empresariales.

Con el código del exploit ahora público y sin un parche disponible, la vulnerabilidad presenta una ventana de oportunidad única para los actores de amenazas que buscan crear botnets basadas en navegadores a gran escala.

Fuentes:
https://cybersecuritynews.com/google-publishes-chromium-exploit-code/