CVE-2024-4947criticalbajo ataqueCWE-843

CVE-2024-4947: fallo crítico en Google Chrome

Publicada el · Actualizada el

85Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.6epss 15%
de la publicación al arma432 días
Publicada en NVD15 may
1ª PoC+432d
CISA KEV+5d
probabilidad de explotación
15%top 3% de las CVE
explotación observada
síCISA + VulnCheck
4 exploit(s) público(s)
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (2 componentes)
Red Hat Enterprise Linux 6
workaround: Until updated packages are released for Fedora and EPEL, consider temporarily swapping to an alternative web browser such as Firefox or severely restricting activity to sites you know well and trust.
Acción exigida por CISAplazo federal: 2024-06-10

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Un fallo en el motor JavaScript de Chrome permite que atacantes confundan al navegador sobre los tipos de datos, permitiéndoles ejecutar código malicioso incluso dentro de la protección de sandbox. Esto ocurre cuando accedes a una página web especialmente preparada.

Detalle técnico

Vulnerabilidad de confusión de tipos (CWE-843) en V8 permite ejecución remota de código dentro del sandbox de Chrome cuando un usuario abre una página HTML manipulada; no se requiere interacción adicional. La falla proviene de verificación inadecuada de tipos en el motor JavaScript, permitiendo eludir protecciones de seguridad de memoria.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Type Confusion in V8 in Google Chrome prior to 125.0.6422.60 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Productos afectados
Google · Chrome
PoCs públicas encontradas — 4
githubgithub.com/bjrjk/CVE-2024-4947★ 30vulncheckvulncheck.com/xdb/7f3fd589f19ano verificadovulncheckvulncheck.com/xdb/9e6d295d45cano verificadovulncheckvulncheck.com/xdb/bb159e19aecfno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Google Chrome

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-4863HIGHCVE-2023-4863EPSS 100.0%KEVCVE-2018-17463HIGHCVE-2018-17463EPSS 84.6%KEVCVE-2021-21224HIGHCVE-2021-21224EPSS 84.2%KEVCVE-2020-6418HIGHCVE-2020-6418EPSS 78.8%KEVCVE-2022-2294HIGHCVE-2022-2294EPSS 70.8%KEVCVE-2021-21220HIGHCVE-2021-21220EPSS 70.4%KEV
Referencias
https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_15.htmlhttps://issues.chromium.org/issues/340221135https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6G7EYH2JAK5OJPVNC6AXYQ5K7YGYNCDN/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NTSN22LNYXMWHVTYNOYQVOY7VDZFHENQ/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WSUWM73ZCXTN62AT2REYQDD5ZKPFMDZD/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-4947