CVE-2024-0519

Falha de acesso a memória fora dos limites (out-of-bounds) no motor JavaScript V8 do Google Chrome, explorável remotamente via uma página HTML maliciosa que corrompe o heap do processo renderer. Está no catálogo KEV da CISA com exploração confirmada in the wild já no momento da divulgação, o que a torna crítica mesmo com EPSS baixo — o CVSS de 8.8 e o KEV concordam: é para corrigir agora, não para debater prioridade.

A CVE-2024-0519 é uma falha CWE-787 (out-of-bounds write/access) no V8, o motor de execução de JavaScript e WebAssembly do Chromium. O advisory do Google não detalha o componente interno exato do V8 afetado (nenhuma fonte lida traz o commit ou o subsistema específico — JIT, garbage collector, parser), e o bug tracker do Chromium (crbug.com/1517354) permanece com acesso restrito, prática padrão do Google até que a maioria dos usuários tenha atualizado.

O padrão dessa classe de bug em V8 é o atacante conseguir, através de JavaScript executado no contexto da página, fazer o engine ler ou escrever em endereços de memória fora dos limites de um objeto ou buffer alocado — geralmente por confusão de tipos, cálculo de índice incorreto ou estado inconsistente entre otimizações do compilador JIT (TurboFan) e o objeto real em runtime. O resultado é corrupção de heap controlável, que serve de primitivo para escalar de execução de código arbitrário dentro do processo renderer sandboxed até, combinado com outra falha de sandbox escape, comprometimento do sistema.

O reporte foi anônimo (creditado como 'Anonymous' no changelog do Google), sem bounty publicado ainda ('$TBD') na época do release — isso é consistente com bugs descobertos em conjunto com exploração ativa, onde o reporte chega via inteligência de ameaças ou telemetria, não via programa de recompensas tradicional.

O vetor é uma página HTML/JavaScript maliciosa servida ao usuário — via link de phishing, anúncio malicioso (malvertising) ou site comprometido. Não exige autenticação nem configuração não padrão: qualquer usuário navegando com um Chrome vulnerável e interagindo minimamente com a página (o vetor CVSS marca UI:R — user interaction required, tipicamente apenas carregar a página é suficiente) está exposto. Não há pré-condição de rede especial: é ataque client-side clássico de drive-by.

Atualizar o Google Chrome para a versão 120.0.6099.224 (Linux) ou 120.0.6099.224/225 (Windows) ou 120.0.6099.234 (Mac) elimina a falha — essas são as versões que o Google publicou como corrigidas no Stable channel em 16/01/2024. Distribuições Linux que empacotam Chromium seguiram com pacotes equivalentes: Fedora 38 e 39 lançaram chromium-120.0.6099.224-1 corrigindo esta CVE junto com CVE-2024-0517 e CVE-2024-0518 no mesmo pacote.

Não há paliativo de configuração real documentado nas fontes — não é uma falha de feature opcional que se desativa por flag. Como o bug está no V8, que é central ao processamento de qualquer página com JavaScript, restringir JavaScript via extensão ou política corporativa reduziria superfície de ataque mas quebra a usabilidade da maioria dos sites; não é mitigação equivalente à atualização. A CISA, no KEV, orienta aplicar a correção do fornecedor ou descontinuar o uso do produto — sem alternativa intermediária listada. Prazo de remediação definido pela CISA para agências federais dos EUA foi 07/02/2024.

Navegadores derivados de Chromium (Edge, Opera, Brave etc.) herdam a mesma falha no V8 e precisam do respectivo update do fornecedor upstream — atualizar só o Chrome não protege esses navegadores.

Não há assinatura de rede confiável documentada nas fontes — a exploração ocorre inteiramente client-side, dentro do processo do V8, via JavaScript malicioso embutido em uma página HTML, sem payload de rede distintivo antes da entrega inicial da página. Sinais indiretos a observar em ambiente corporativo: crashes ou fechamentos inesperados do processo renderer do Chrome (visíveis em relatórios de crash internos ou EDR monitorando comportamento anômalo do processo chrome.exe/renderer), acesso a domínios de reputação baixa ou recém-registrados antes do evento, e telemetria de EDR que capture tentativas de exploração de heap corruption pós-comprometimento (shellcode, sandbox escape). Nenhuma das fontes lidas (Google, Fedora, CISA) publicou IOCs, hashes ou domínios associados à campanha que motivou a inclusão no KEV.