CVE-2022-3038

Use-after-free no Network Service do Chrome, componente responsável por processar requisições de rede (URLLoader) fora do processo de renderização. A falha permite corrupção de heap explorável remotamente via uma página HTML maliciosa e está confirmada como explorada in-the-wild — consta no catálogo KEV da CISA. O Google classificou a falha como "Critical", nível raro para uma UAF, o que sugere um caminho de exploração relativamente direto até execução de código.

A vulnerabilidade é uma condição de use-after-free (CWE-416) no Network Service do Chromium, o processo/serviço que trata o ciclo de vida de requisições HTTP feitas pelo navegador. Um objeto relacionado ao carregamento de URL (URLLoader) é liberado da memória em um ponto do fluxo de rede, mas uma referência a esse objeto continua acessível e é usada posteriormente — cenário clássico de UAF explorável quando o atacante consegue controlar o timing e o conteúdo alocado no espaço de memória liberado.

Um PoC público catalogado (título "Network-URLLoader-NotifyCompleted-Heap-Use-After-Free") aponta o callback NotifyCompleted do URLLoader como área envolvida no problema — indício consistente com a natureza da falha descrita pelo Google, mas não confirmado em detalhe pelo advisory oficial, que mantém a descrição do bug (crbug.com/1340253) restrita.

A falha foi reportada por Sergei Glazunov, do Google Project Zero, em 28/06/2022, e corrigida cerca de dois meses depois no lançamento do Chrome 105. O Network Service roda fora do sandbox de renderer em algumas configurações de arquitetura de processos do Chrome, o que eleva o valor de uma exploração bem-sucedida: dependendo de como a cadeia é encadeada com outras primitivas, pode servir como ponto de escape parcial das camadas de isolamento do navegador.

O vetor de entrada é uma página HTML controlada pelo atacante que o usuário precisa visitar (User Interaction: Required no CVSS) — não há exploração sem alguma ação da vítima, tipicamente navegar para um link malicioso ou visualizar conteúdo embutido em página comprometida. Não exige autenticação nem configuração não padrão do navegador; a superfície é o comportamento padrão de processamento de requisições de rede do Chrome.

A exploração de uma UAF de heap normalmente requer que o atacante force a liberação do objeto e, em seguida, controle a realocação de memória para colocar dados fabricados no espaço liberado (heap grooming), obtendo corrupção de estado interno que pode evoluir para execução de código no contexto do processo afetado. A presença de um PoC público reduz a barreira técnica para replicar o crash, mas transformar isso em execução de código confiável é trabalho não trivial e depende de mitigações ativas no build (ASLR, sandboxing, particionamento de heap).

A CISA confirma exploração ativa (entrada no catálogo KEV, adicionada em 30/03/2023, com prazo de mitigação até 20/04/2023 para agências federais dos EUA), mas não detalha campanhas específicas, atores ou telemetria de exploração. A ausência de detalhe público sobre a cadeia completa de exploração é consistente com a política do Google de restringir informação do bug até que a maioria dos usuários tenha atualizado.

A correção definitiva é atualizar o Chrome para 105.0.5195.52 ou superior (Windows também recebeu builds 105.0.5195.53/54). Navegadores baseados em Chromium seguem cronogramas próprios: Microsoft Edge corrigiu em 105.0.1343.42; distribuições Linux empacotaram a correção em builds equivalentes do Chromium (Fedora 37 em chromium-105.0.5195.52, Gentoo fixou o piso mínimo em chromium/chromium-bin/google-chrome 105.0.5195.125, versão posterior que já inclui esse e outros fixes acumulados).

Não há paliativo de configuração documentado pelo fornecedor — a Gentoo GLSA 202209-23 registra explicitamente "there is no known workaround at this time". Isolamento de processo (Site Isolation) e sandboxing reduzem o impacto de uma exploração bem-sucedida mas não eliminam a vulnerabilidade em si, já que a falha está no Network Service, que opera fora do sandbox de renderer padrão. Em ambientes onde a atualização imediata não é viável, a única mitigação real é reduzir exposição a conteúdo web não confiável (navegação restrita, extensões de bloqueio de conteúdo ativo) enquanto o patch é aplicado — isso não neutraliza o risco, apenas reduz a superfície de exposição temporariamente.

Atualizar apenas outros componentes do sistema, aplicar hardening genérico de sandbox do SO, ou depender de EDR para detectar exploração de heap corruption não substitui o patch: a exploração ocorre inteiramente dentro do processo do navegador antes de qualquer sinal comportamental típico ser gerado.

Não há assinatura de rede ou de log confiável e publicamente documentada para detectar tentativas de exploração desta UAF — o gatilho ocorre inteiramente client-side, dentro do processamento de rede do navegador, sem padrão de tráfego HTTP anômalo conhecido. Ferramentas de monitoramento de crash do navegador (relatórios de crash do Chrome com stack trace envolvendo Network Service / URLLoader) podem indicar tentativas malsucedidas de exploração ou fuzzing, mas essa telemetria normalmente não está disponível para SOC fora da infraestrutura do próprio fornecedor. Na prática, a defesa efetiva é garantir que o parque de navegadores esteja em versão igual ou superior à corrigida, já que não existe indicador de comprometimento (IOC) genérico publicado para esta CVE específica.