CVE-2023-7024

CVE-2023-7024 é um heap buffer overflow no componente WebRTC do Chromium, explorável remotamente por meio de uma página HTML maliciosa, sem necessidade de autenticação. A gravidade real vem do fato de o Google ter confirmado exploração ativa antes da correção — a falha foi usada como zero-day e está no catálogo KEV da CISA, o que a torna prioridade de patch imediata, não apenas um CVSS alto teórico.

A falha é uma corrupção de heap (CWE-122, heap-based buffer overflow) na implementação do WebRTC dentro do Chromium/Blink. WebRTC processa dados de mídia (áudio/vídeo) e sinalização em buffers alocados dinamicamente; um overflow nesse contexto ocorre quando o código escreve dados além dos limites de um buffer alocado no heap, geralmente por cálculo incorreto de tamanho ou validação insuficiente de entrada vinda de um stream de mídia ou de estruturas de controle do protocolo.

O Google restringiu os detalhes do bug (crbug.com/1513170) até que a maioria dos usuários atualizasse — prática padrão do Chromium para bugs sob exploração ativa — e por isso não há, nas fontes públicas disponíveis, o commit ou arquivo exato corrigido. O advisory oficial classifica a severidade como 'High' na escala interna do Chromium e atribui a descoberta a Clément Lecigne e Vlad Stolyarov, do Threat Analysis Group (TAG) do Google, equipe que tipicamente investiga campanhas de spyware comercial e ataques direcionados — um indício forte do perfil de uso real da falha.

O vetor de entrada é uma página HTML controlada pelo atacante que aciona a via de código vulnerável do WebRTC no navegador da vítima. Isso normalmente implica JavaScript que inicia uma sessão WebRTC (por exemplo, via APIs de PeerConnection ou processamento de mídia) com parâmetros ou payloads de mídia manipulados para forçar a escrita fora dos limites do buffer.

O CVSS 3.1 de 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) reflete que a exploração não exige privilégios nem condições de rede especiais, mas exige interação do usuário (UI:R) — abrir ou acessar a página maliciosa. Corrupção de heap em navegadores tipicamente serve como primitivo para corromper estruturas de memória e, combinada com técnicas de escrita controlada, viabilizar execução de código arbitrário no contexto do processo renderer.

O vetor de ataque é puramente client-side: a vítima precisa visitar ou ser induzida a abrir uma página HTML criada pelo atacante (drive-by ou link direcionado). Não há pré-requisito de autenticação, configuração não padrão do navegador, ou acesso à rede interna — qualquer Chrome ou derivado Chromium não corrigido, com WebRTC habilitado (comportamento padrão), está exposto. A única barreira real é a necessidade de interação do usuário (carregar a página), o que é trivial em campanhas de phishing ou watering hole.

O Google confirmou, no próprio advisory de release, que 'um exploit para CVE-2023-7024 existe in the wild' antes da correção ser publicada — ou seja, tratou-se de um zero-day ativamente explorado no momento da descoberta, não de uma falha teórica reportada por bug bounty. A atribuição da descoberta ao Threat Analysis Group do Google, que historicamente rastreia exploração ligada a fornecedores de spyware comercial e atores estatais visando alvos específicos (jornalistas, dissidentes, diplomatas), sugere uso em campanhas direcionadas e não em exploração massiva e indiscriminada — mas isso não é confirmado nas fontes disponíveis, apenas inferido do padrão histórico de descobertas do TAG.

Como o próprio Chromium restringiu os detalhes técnicos do bug até ampla adoção do patch, não há PoC pública documentada nas fontes consultadas com passo a passo replicável; a presença no catálogo KEV da CISA confirma exploração real, sem detalhar o alcance da campanha. O resultado final de uma exploração bem-sucedida, dado o CVSS (C:H/I:H/A:H), é execução de código no contexto do processo do navegador, com potencial de escalar para comprometimento total da sessão ou do sistema dependendo de encadeamento com outra falha de sandbox escape.

A correção é atualizar o Google Chrome para a versão 120.0.6099.129 (Mac/Linux) ou 120.0.6099.129/130 (Windows), conforme o advisory oficial do Google publicado em 20 de dezembro de 2023. Distribuições Linux publicaram pacotes correspondentes: Fedora 38 e 39 via chromium-120.0.6099.129-1.fc38/fc39, Debian via DSA-5585, e Gentoo via GLSA 202401-34, que registra como versão corrigida do pacote chromium/google-chrome a 120.0.6099.109 — note a divergência de build number entre o advisory do Google (129/130) e o da Gentoo (109); trate o advisory do fornecedor do navegador como fonte primária e confirme a versão instalada localmente via chrome://version.

Não há workaround documentado nas fontes — o próprio GLSA da Gentoo afirma explicitamente 'There is no known workaround at this time'. Como o vetor depende de WebRTC ser processado pelo motor Blink, desabilitar WebRTC via política empresarial (enterprise policy WebRtcEventLogging ou flags equivalentes) reduziria a superfície de ataque, mas quebra funcionalidades legítimas (videoconferência, chamadas em navegador) e não é uma mitigação endossada pelo fornecedor — trate como paliativo de última instância, não como correção.

Atualizar o navegador é a única mitigação validada. Extensões de bloqueio de script ou WAF no lado servidor não têm efeito, pois a falha está no motor de renderização do cliente e é acionada por conteúdo HTML/JS arbitrário, não por um padrão de requisição filtrável no perímetro.

Não há assinatura de rede confiável documentada nas fontes consultadas — a exploração ocorre inteiramente no processo de renderização do navegador via conteúdo HTML/JavaScript, sem padrão de tráfego distintivo conhecido publicamente. Os detalhes técnicos do bug (crbug.com/1513170) permaneceram restritos pelo Google mesmo após a correção, o que limita a criação de regras de detecção específicas por assinatura.

Na ausência de IOCs publicados, o sinal prático disponível é indireto: monitorar crashes ou fechamentos anômalos do processo renderer do Chrome/Chromium (especialmente em sessões que envolveram WebRTC) em endpoints, e cruzar com telemetria EDR para comportamento pós-exploração típico de shellcode em navegador (spawning de processos filhos inesperados, injeção de memória). A presença no catálogo KEV da CISA é o indicador mais confiável de que a falha foi usada em campanhas reais — organizações devem tratar qualquer Chrome desatualizado nesse intervalo de versões como risco confirmado, não hipotético.