O Google aborda sete vulnerabilidades, incluindo explorações do dia zero do Pwn2Own 2024!
A Pwn2Own 2024, uma grande competição de hackers realizada em Vancouver, trouxe à luz diversas vulnerabilidades em vários serviços. Os principais alvos incluíram os navegadores Chrome, Edge e Firefox, com pesquisadores de segurança participantes explorando com sucesso diversas vulnerabilidades, demonstrando sua capacidade de executar remotamente código com navegadores alvo para possivelmente comprometer os sistemas dos usuários.
Um dos torná-los 0-day mais críticos foi identificado no WebAssembly , um padrão aberto usado pelo Chrome e Edge, e é reconhecido como CVE-2024-2887. Manfred Paul demonstrou essa vulnerabilidade de “confusão de tipos” no primeiro dia de competição, ganhando a capacidade de executar código remotamente em ambos os navegadores.
Chrome e Firefox, vulnerabilidades descobertas no Pwn2Own em Vancouver resolvidas
Outra ameaça séria foi representada por uma falha na API WebCodecs , usada para codificação e decodificação de conteúdo de áudio e vídeo. Seunghyun Lee, do KAIST Hacking Lab, explorou essa falha de uso após livre ( CVE-2024-2886 ) para realizar leituras e gravações arbitrárias nos sistemas afetados. A mesma falha também pode ser explorada, como Lee demonstrou, para executar código remotamente usando um único exploit. Também neste caso a vulnerabilidade afeta tanto o Google Chrome quanto o Edge da Microsoft.
Na atualização desta semana, lançada com a versão 123.0.6312.86/.87 para Windows e macOS e 123.0.6312.86 para Linux, o Google corrigiu um total de sete vulnerabilidades no navegador Chrome, incluindo o dois de 0 dias mencionados. Nem mesmo o Firefox, entre os navegadores mencionados, permaneceu imune durante o Pwn2Own em Vancouver: o próprio Manfred Paul explorou com sucesso dois dias zero no navegador Mozilla durante a competição. Por um lado, o Google reagiu muito rapidamente empregando cinco dias para corrigir as falhas descobertas no Chrome , por outro lado a Mozilla agiu ainda mais rapidamente, consertando problemas do Firefox em cerca de um dia.
Os pesquisadores de segurança Pwn2Own 2024 viram ganhar um total de 1.132.500 dólares por provar 29 explorações de dia zero e cadeias de exploração. Manfred Paul se destacou como vencedor do ano, levando para casa US$ 202.500 em prêmios.
*️⃣ Link da fonte: