La última actualización del canal estable de Chrome 151 corrige 382 vulnerabilidades de seguridad, de las cuales 15 son críticas. Estas últimas podrían permitir la ejecución remota de código y el compromiso total del navegador. Google ha lanzado esta actualización para Windows, macOS, Linux e iOS, aplicando parches en casi todos los componentes principales del navegador.

La última actualización del canal estable de Chrome 151 ofrece parches para 382 vulnerabilidades de seguridad, incluyendo 15 errores críticos que pueden ser utilizados para la ejecución remota de código y la vulneración total del navegador si no los parcheas.

Google está implementando esta actualización para Windows, macOS, Linux y Chrome para iOS, con correcciones de seguridad que abarcan casi todos los componentes principales de la arquitectura del navegador.

Según las notas de lanzamiento de Google, Chrome 151 (con la versión de escritorio 150.0.7871.46) incluye 382 correcciones de seguridad distintas cubiertas bajo el Programa de Recompensas por Vulnerabilidades de Chrome.

Los detalles de los errores permanecen parcialmente restringidos hasta que la mayoría de los usuarios reciban la actualización, de acuerdo con el proceso estándar de divulgación coordinada de Google.

El conjunto de parches soluciona vulnerabilidades que van desde problemas críticos de ejecución remota de código hasta fallos de baja severidad en la interfaz de usuario (UI) y en la aplicación de políticas que afectan a los componentes de web, gráficos, casting, redes y componentes específicos de iOS.

Muchos de estos errores fueron identificados internamente por Google utilizando herramientas modernas de seguridad de memoria como AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer y marcos de trabajo de fuzzing.

La actualización de Chrome soluciona 382 vulnerabilidades

Google clasifica 15 de las vulnerabilidades corregidas como críticas, y la mayoría se describen como problemas de "uso después de la liberación" (use after free) en componentes de alto riesgo como Extensiones, GPU, WebUSB, Navegador, Vistas, Bluetooth, Chromoting y Ozone.

Estos fallos de corrupción de memoria a menudo pueden encadenarse para lograr la ejecución de código arbitrario en el navegador o en el contexto del sistema operativo subyacente cuando visitas una página maliciosa o interactúas con contenido controlado por un atacante.

El conjunto crítico también incluye confusión de tipos y validación insuficiente de entradas no confiables en subsistemas de renderizado y gráficos como Dawn, ANGLE y Skia, así como en el manejo de entradas de iOSWeb.

Explotar estos errores podría permitir que los atacantes evadan los límites del sandbox, provoquen la corrupción del montón (heap corruption) o secuestren el flujo de control, aumentando enormemente el riesgo de escenarios de compromiso por descarga involuntaria (drive-by compromise).

Más allá de los 15 problemas críticos, Google solucionó una gran cantidad de vulnerabilidades de severidad alta en áreas como Chromecast, QUIC, Updater, SVG, Chrome para iOS, Safe Browsing, Accesibilidad, Canvas, Entrada de Archivos y funciones enfocadas a empresas.

Muchas de estas son también problemas de uso después de la liberación, desbordamiento de búfer del montón, desbordamiento de enteros o validación insuficiente de políticas que pueden facilitar la divulgación de información, la escalada de privilegios o la evasión del sandbox en cadenas de ataque realistas.

La actualización aborda además cientos de fallos de severidad media que afectan a la Autenticación Web, WebHID, WebXR, DevTools, Autocompletado, Contraseñas, PDF, Códecs, Fuentes y varios componentes de la interfaz de usuario.

Aunque individualmente tengan menos impacto, estos errores expanden colectivamente la superficie de ataque de Chrome y pueden encadenarse con otras vulnerabilidades para mejorar la fiabilidad del exploit o evadir avisos e indicadores de seguridad.

Google también lanza docenas de correcciones de baja severidad centradas en interfaces de seguridad incorrectas, evasiones de políticas y validación insuficiente en componentes como SplitView, WebXR, Red, WebNN, Chrome para iOS, TabStrip, Almacenamiento, GamepadAPI, Incrustaciones de Historial y funciones más recientes relacionadas con la IA y las credenciales.

Estos problemas suelen contribuir al engaño del usuario, estados de seguridad inconsistentes o evasiones sutiles de permisos y del sandbox, en lugar de una ejecución directa de código.

Aunque se categoricen como de baja severidad, estas debilidades son importantes para el endurecimiento general del navegador, especialmente cuando son objetivo de actores de amenazas sofisticados que dependen de cadenas de explotación de múltiples errores y de ingeniería social.

Google agradece a numerosos investigadores externos y socios, junto con sus equipos internos, por informar estos problemas durante el ciclo de desarrollo de Chrome 151.

Mitigaciones

Google recomienda que todos los usuarios actualicen a la última versión estable de Chrome 151 lo antes posible para mitigar el riesgo de ataques de ejecución de código basados en estas vulnerabilidades.

Para las empresas, los equipos de seguridad deben priorizar la prueba y el despliegue de Chrome 151 en todas las flotas gestionadas, prestando especial atención a los entornos que dependen fuertemente de extensiones, escritorio remoto (Chromoting), WebUSB, WebXR, Chromecast y Chrome para iOS.

Las organizaciones también deben revisar sus líneas base de seguridad del navegador, incluyendo la gobernanza de extensiones, las políticas de aislamiento de sitios, la configuración de Safe Browsing y las mitigaciones de exploits a nivel de sistema operativo para asegurar que complementen las protecciones introducidas en esta actualización.

Cuando sea posible, activar las actualizaciones automáticas y monitorear los canales de avisos de seguridad de Chrome puede ayudar a reducir las ventanas de exposición a lotes similares de vulnerabilidades a gran escala en futuros lanzamientos.