CVE-2021-38003highbajo ataqueCWE-755

CVE-2021-38003: fallo de gravedad alta en Google Chrome

Publicada el · Actualizada el

85Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.8epss 39%
de la publicación al arma410 días
Publicada en NVD23 nov
1ª PoC+410d
CISA KEV3 nov
probabilidad de explotación
39%top 1% de las CVE
explotación observada
síCISA + VulnCheck
3 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2021-11-17

Apply updates per vendor instructions.

En resumen

Una falla en el motor JavaScript de Chrome (V8) permite que atacantes corrompan la memoria de tu computadora engañándote para que visites una página maliciosa. Esto puede causar bloqueos o permitir que el atacante ejecute código dañino.

Detalle técnico

Implementación inapropiada de verificación de límites en V8 permite ejecución remota de código mediante corrupción de heap. Vector de ataque: red (página HTML crafted), requiere interacción del usuario (visita a la página). Precondición: víctima debe abrir página maliciosa en versión vulnerable de Chrome. Impacto: ejecución arbitraria de código con privilegios del usuario.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Inappropriate implementation in V8 in Google Chrome prior to 95.0.4638.69 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Google · Chrome
PoCs públicas encontradas — 3
githubgithub.com/SpiralBL0CK/Chrome-V8-RCE-CVE-2021-38003★ 37vulncheckvulncheck.com/xdb/1a0b1ef4a809no verificadovulncheckvulncheck.com/xdb/72c3951ee77eno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Google Chrome

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-4863HIGHCVE-2023-4863EPSS 100.0%KEVCVE-2018-17463HIGHCVE-2018-17463EPSS 84.6%KEVCVE-2021-21224HIGHCVE-2021-21224EPSS 84.2%KEVCVE-2020-6418HIGHCVE-2020-6418EPSS 78.8%KEVCVE-2022-2294HIGHCVE-2022-2294EPSS 70.5%KEVCVE-2021-21220HIGHCVE-2021-21220EPSS 70.4%KEV
Referencias
https://chromereleases.googleblog.com/2021/10/stable-channel-update-for-desktop_28.htmlhttps://crbug.com/1263462https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3W46HRT2UVHWSLZB6JZHQF6JNQWKV744/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38003https://www.debian.org/security/2022/dsa-5046