Abundan los navegadores sin parches, muestra un estudio

Investigadores de Menlo Security descubrieron que mientras dos tercios de sus clientes ejecutan la última versión de Google Chrome (.86), un sorprendente 83% ejecuta versiones del navegador que son vulnerables a los recientes ataques de día cero identificados por Google.  Desde Menlo, afirman que muchos de los usuarios de Chrome no están ejecutando versiones parchadas […]

Investigadores de Menlo Security descubrieron que mientras dos tercios de sus clientes ejecutan la última versión de Google Chrome (.86), un sorprendente 83% ejecuta versiones del navegador que son vulnerables a los recientes ataques de día cero identificados por Google. 

Desde Menlo, afirman que muchos de los usuarios de Chrome no están ejecutando versiones parchadas de los navegadores. Eso es un problema, porque Google lanzó recientemente updates para cinco vulnerabilidades de día cero dirigidas al navegador Chrome, y seguramente vendrán más, comentan a los medios.

“No hay duda de que se avecinan más de estos ataques de día cero en los navegadores Chrome. Los atacantes se han aprovechado de Internet Explorer y los sistemas operativos de Microsoft, y continuarán centrándose en Chrome porque se ha convertido en el navegador más popular. Creemos que continuarán con ataques más dirigidos para robar propiedad intelectual o simplemente para obtener ganancias financieras”, afirma el director de la compañía.

“Estas vulnerabilidades solo se reparan si el usuario actualiza su aplicación”, dice Schless. “Dado que muchas personas no tienen activadas las actualizaciones automáticas, es probable que los atacantes aún tengan éxito en la explotación de estas vulnerabilidades. En el caso de un exploit exitoso en un dispositivo móvil, el actor de la amenaza obtiene acceso a todo lo que la aplicación Chrome pueda acceder. Esto incluye el historial de navegación, la cámara y el micrófono, y los datos de ubicación”.

Eso podría poner en riesgo los datos de la empresa, dice, cuando los usuarios de Chrome acceden a los recursos corporativos.

La brecha de parche de Chrome entre los clientes de Menlo

Como resumen, aquí hay un listado de los días cero que Google parcheó a principios de este mes:

• CVE-2020-16009  y  CVE-2020-16013  dan a los atacantes acceso al navegador. La vulnerabilidad permite que JavaScript malicioso salga de la zona de pruebas creada en tiempo de ejecución, lo que permite al atacante ejecutar código nativo dentro del proceso de renderizado de Chrome.
• CVE-2020-15999 se  centró en el uso de fuentes en un sitio web que visita el usuario. El componente que analiza las fuentes descargadas le da al hacker acceso al navegador.
• CVE-2020-16017  permite que un atacante tome el control del navegador y luego obtenga acceso a los archivos ubicados en el dispositivo. 
• CVE-2020-16010  permite que un atacante tome el control del navegador en dispositivos Android para obtener acceso a los archivos ubicados en el dispositivo móvil.