CVE-2024-5274

Falha de type confusion (CWE-843) no motor V8 do Chrome, corrigida na versão 125.0.6422.112, explorada in-the-wild como zero-day antes do patch e hoje com PoC público. Foi reportada por pesquisadores do Threat Analysis Group (TAG) do Google — equipe que historicamente rastreia campanhas de spyware direcionado —, o que sugere uso inicial em ataques de alvo específico, não em campanha massiva.

Type confusion em V8 ocorre quando o motor JavaScript trata um objeto como se fosse de um tipo diferente do que realmente é em memória — normalmente resultado de o compilador JIT (TurboFan) fazer uma suposição de tipo/shape de objeto que se torna inválida durante a execução, mas o código gerado continua operando sobre essa suposição obsoleta. O atacante controla o JavaScript executado pela página e pode manipular o objeto e seu tipo real de forma a divergir do tipo que o V8 espera naquele ponto do código compilado.

O resultado prático é acesso a memória fora dos limites esperados para aquele tipo de objeto — leitura ou escrita além do que a estrutura de dados original permitiria — o que dá ao atacante um primitivo para corromper memória do processo de renderização e, a partir daí, construir execução de código arbitrário dentro do contexto do renderer.

O Google restringiu os detalhes do bug (issue 341663589) até que a maioria dos usuários atualizasse, prática padrão para bugs exploráveis. Não há, nas fontes disponíveis, detalhe público sobre qual API ou trecho específico do V8 continha a falha de inferência de tipo — apenas a classificação CWE-843 e a confirmação de exploração ativa.

O CVSS informado (AV:N/AC:H/PR:N/UI:R/S:C) captura um ponto importante: a descrição oficial do Google diz explicitamente que a execução de código ocorre "inside a sandbox". Ou seja, essa CVE por si só compromete o processo renderer, mas não escapa da sandbox do Chrome — para controle total do sistema, o atacante precisaria encadear essa falha com uma segunda vulnerabilidade de sandbox escape, algo comum em campanhas de exploração de navegador em cadeia.

O vetor é uma página HTML maliciosa contendo JavaScript projetado para forçar o V8 a cometer o erro de tipo — a vítima só precisa visitar essa página (interação do usuário limitada a navegação normal, refletida no UI:R do CVSS). Não há exigência de autenticação, configuração não padrão do navegador ou privilégios elevados; qualquer instalação padrão do Chrome (e de outros navegadores baseados em Chromium com o mesmo V8 não corrigido) é alvo potencial.

O Google confirmou que um exploit para essa CVE já existia in-the-wild no momento da divulgação, reportado por integrantes do Threat Analysis Group — grupo que investiga majoritariamente spyware comercial e ataques patrocinados por estado contra jornalistas, dissidentes e alvos de alto valor. Isso indica que a exploração inicial foi provavelmente direcionada e não massiva, embora o CVE tenha entrado no catálogo KEV da CISA por exploração confirmada e hoje exista PoC público, o que amplia o risco de uso oportunista por atores menos sofisticados.

A complexidade de ataque é alta (AC:H) porque corromper memória via type confusion no V8 e transformar isso em execução de código confiável exige engenharia de exploit não trivial — não é um bug trivialmente weaponizável sem conhecimento profundo de heap/JIT do V8. Sozinha, a falha entrega execução de código dentro da sandbox do renderer; para controle da máquina, o atacante precisa de uma vulnerabilidade adicional de escape de sandbox, tipicamente entregue na mesma cadeia de exploração.

A correção é atualizar o Google Chrome para a versão 125.0.6422.112 (Linux) ou 125.0.6422.112/.113 (Windows e Mac), lançada em 23 de maio de 2024. Distribuições baseadas em Chromium seguiram o mesmo número de versão — por exemplo, os pacotes chromium do Fedora 39 e 40 foram atualizados para 125.0.6422.112 (com um ajuste de build para ppc64le no Fedora 40, sem impacto na correção de segurança). Navegadores derivados do Chromium (Edge, Opera, Brave etc.) precisam do release equivalente que incorpore o mesmo patch de V8 — verifique a versão do motor, não apenas o número de build do navegador.

Não há workaround de configuração real: desativar JavaScript inteiramente neutraliza o vetor, mas torna a maior parte da web inutilizável, então não é uma mitigação prática para uso geral — é um controle de último recurso em máquinas de alto risco sem possibilidade de atualização imediata. Em ambiente corporativo, o controle compensatório efetivo é garantir que a política de atualização automática do Chrome não esteja bloqueada e forçar a atualização via gerenciamento de endpoints, já que o prazo definido pela CISA no KEV para agências federais dos EUA foi 18 de junho de 2024 — referência útil de urgência mesmo fora desse escopo regulatório.

Não existe mitigação via WAF ou controle de borda de rede: a exploração ocorre inteiramente no cliente, dentro do processo de renderização, e o conteúdo malicioso pode ser servido de qualquer origem, incluindo sites legítimos comprometidos.

Não há assinatura de rede ou de log confiável para identificar tentativas de exploração dessa falha especificamente: o ataque ocorre via JavaScript entregue dentro de uma página HTML normal, tipicamente ofuscado, sem padrão de tráfego distintivo conhecido publicamente. Sinais indiretos a observar incluem crashes recorrentes do processo renderer do Chrome com stack traces envolvendo V8/TurboFan, alertas de EDR relacionados a comportamento anômalo pós-renderização (indicativo de tentativa de encadeamento com sandbox escape) e telemetria de navegador reportando falhas de tipo em relatórios de crash — nenhum desses é definitivo sem análise forense da memória do processo.

Como o exploit foi originalmente usado de forma direcionada (via TAG), organizações com perfil de alvo de espionagem (ONGs, jornalistas, dissidentes, setores públicos sensíveis) devem tratar qualquer indício de comprometimento de endpoint via navegador nesse período (antes de 23/05/2024) com prioridade de investigação forense, já que a ausência de sinal de rede não implica ausência de exploração.