CVE-2021-30533

Falha de aplicação insuficiente de política no PopupBlocker do Google Chrome, corrigida na versão 91.0.4472.77, permitia que um iframe malicioso burlasse as restrições de navegação que normalmente exigem um gesto legítimo do usuário. O CVSS moderado (6.5) não reflete o risco real: a falha está no catálogo KEV da CISA por ter sido explorada ativamente, majoritariamente em campanhas de malvertising que forçam pop-ups, redirecionamentos e tab-unders indesejados.

O PopupBlocker do Chrome/Blink decide se uma navegação de nível superior ou abertura de nova janela deve ser permitida com base na presença de 'user activation' (gesto de usuário) associado ao frame que solicitou a ação. O CVE-2021-30533 é classificado pelo próprio Google como 'Insufficient policy enforcement in PopupBlocker' — a mesma categoria de outras três CVEs corrigidas no mesmo release (30531, 30532, 30534), todas relacionadas a falhas de enforcement de políticas de segurança em Blink (CSP e sandboxing de iframe).

A descrição oficial e o título do bug interno (crbug 1145553) indicam que um iframe malicioso, construído de forma específica, conseguia contornar a verificação que o PopupBlocker faz antes de permitir uma navegação disparada por conteúdo embutido — efetivamente fazendo o navegador tratar uma ação sem gesto de usuário genuíno como se fosse legítima. O Google mantém os detalhes técnicos do bug tracker (crbug.com/1145553) restritos, prática padrão até que a maioria dos usuários tenha atualizado, e não há write-up técnico público detalhando o mecanismo exato de bypass dentro do código do Blink.

O CVSS vetor (AC:L, PR:N, UI:R, S:U, C:N, I:H, A:N) mostra que o impacto reconhecido é de integridade alta — o atacante força um estado do navegador (navegação/pop-up) que o usuário não autorizou — sem comprometer confidencialidade ou disponibilidade. Não há execução de código nem escape de sandbox envolvidos; é uma falha de lógica de política, não de memória.

O vetor é uma página web (tipicamente um anúncio ou iframe de terceiros embutido em um site legítimo) contendo um iframe construído para acionar a falha de enforcement do PopupBlocker. O requisito de interação do usuário (UI:R no CVSS) indica que a vítima precisa estar navegando/interagindo com a página de alguma forma — não é um ataque completamente passivo — mas não exige autenticação, configuração não padrão do navegador nem controle de rede; basta a vítima carregar conteúdo malicioso, geralmente via cadeia de anúncios programáticos.

O pesquisador que reportou a falha (Eliya Stein, com histórico de pesquisa sobre bypasses de bloqueador de pop-up usados em fraude de anúncios) trabalha na área de detecção de malvertising, o que é consistente com o padrão de uso observado: redes de anúncios maliciosos abusando desse tipo de falha para forçar tab-unders, redirecionamentos para páginas de scam/phishing e pop-ups indesejados sem que o usuário tenha clicado em nada relevante para autorizar isso.

A presença no catálogo KEV da CISA confirma exploração ativa, mas os dados fornecidos não incluem a data de inclusão no KEV nem o prazo de remediação definido pela CISA; para esse detalhe é necessário consultar diretamente a entrada do catálogo.

A correção definitiva é atualizar o Google Chrome para a versão 91.0.4472.77 ou posterior. Distribuições baseadas em Chromium seguiram o mesmo baseline: os pacotes chromium do Fedora 33/34 foram atualizados para 91.0.4472.114 e o Gentoo (GLSA 202107-06) marca como corrigidas as versões www-client/chromium e www-client/google-chrome >= 91.0.4472.114 — ambos os backports incluem a correção desta CVE junto com um lote grande de outras falhas do Chrome 91.

O próprio advisory do Gentoo declara explicitamente 'there is no known workaround at this time' — não há flag de configuração, política de grupo ou ajuste de bloqueador de pop-up que mitigue a falha, já que o bug está exatamente na lógica do PopupBlocker que deveria impor a restrição. Reduzir a superfície de exposição a anúncios de terceiros (bloqueadores de conteúdo, isolamento de iframes de publicidade) diminui a chance de encontrar o vetor mais comum de exploração (malvertising), mas isso é mitigação de risco geral, não correção da vulnerabilidade.

Não há mitigação client-side confiável fora de atualizar o binário do navegador; ambientes que dependem de builds antigos do Chromium embarcado (Electron, WebViews) devem verificar se a versão do motor incorpora o fix de 91.0.4472.77 ou superior.

Não há assinatura de log de servidor confiável para esta falha, pois a exploração ocorre inteiramente no lado do cliente, dentro do processo de renderização do navegador, e o bypass em si não deixa rastro de rede distinto de um pop-up ou navegação legítimos. Times que monitoram tráfego de anúncios podem investigar iframes de origem publicitária associados a navegações de topo inesperadas (tab-under) ou pop-ups disparados sem clique correspondente do usuário como indicador indireto de campanhas de malvertising abusando desta classe de falha, mas nenhuma fonte consultada documenta um indicador de comprometimento específico para o CVE-2021-30533.