Google ha parcheado una vulnerabilidad de día cero en el navegador web Chrome para escritorio que, según dice, se está explotando activamente en la naturaleza.

La compañía lanzó 88.0.4324.150 para Windows, Mac y Linux, con una solución para una falla de desbordamiento del búfer de montón (CVE-2021-21148) en su motor de renderizado JavaScript V8.

“Google está al tanto de los informes de que existe un exploit para CVE-2021-21148”, dijo la compañía en un comunicado.

La falla de seguridad fue reportada a Google por Mattias Buelens el 24 de enero.

Anteriormente, el 2 de febrero, Google abordó seis problemas en Chrome, incluido un uso crítico después de una vulnerabilidad gratuita en Pagos (CVE-2021-21142) y cuatro fallas de alta gravedad en las funciones de Extensiones, Grupos de pestañas, Fuentes y Navegación.

Si bien es típico de Google limitar los detalles de la vulnerabilidad hasta que la mayoría de los usuarios estén actualizados con la solución, el desarrollo se produce semanas después de que Google y Microsoft revelaran los ataques llevados a cabo por piratas informáticos de Corea del Norte contra investigadores de seguridad con una elaborada campaña de ingeniería social para instalar un Puerta trasera de Windows.

Con algunos investigadores infectados simplemente al visitar un blog de investigación falso sobre sistemas completamente parcheados que ejecutan Windows 10 y el navegador Chrome, Microsoft, en un informe publicado el 28 de enero, insinuó que los atacantes probablemente aprovecharon un día cero de Chrome para comprometer los sistemas.

Aunque no está claro de inmediato si se utilizó CVE-2021-21148 en estos ataques, el momento de las revelaciones y el hecho de que el aviso de Google salió exactamente un día después de que Buelens informara sobre el problema implica que podrían estar relacionados.

En un artículo técnico separado, la firma de seguridad cibernética de Corea del Sur ENKI dijo que el grupo de piratería patrocinado por el estado de Corea del Norte conocido como Lazarus hizo un intento fallido de apuntar a sus investigadores de seguridad con archivos MHTML maliciosos que, cuando se abrieron, descargaron dos cargas útiles de un servidor remoto. , uno de los cuales contenía un día cero contra Internet Explorer.

«La carga útil secundaria contiene el código de ataque que ataca la vulnerabilidad del navegador Internet Explorer», dijeron los investigadores de ENKI.

Vale la pena señalar que Google arregló el año pasado cinco días cero de Chrome que se explotaron activamente en la naturaleza en un lapso de un mes entre el 20 de octubre y el 12 de noviembre.