CVE-2024-7965

Falha de implementação no motor JavaScript V8 do Chrome que permite corrupção de heap a partir de uma página HTML maliciosa, sem exigir nada além de o usuário abrir a página. Foi explorada ativamente antes da correção — está no catálogo KEV da CISA — o que eleva a prioridade de patch mesmo sem detalhes técnicos públicos sobre o bug.

A vulnerabilidade está classificada pelo Chromium como 'inappropriate implementation' no V8, categoria genérica usada para erros de lógica/verificação de segurança (não necessariamente um overflow clássico). A CISA classifica a falha como CWE-358 (Improperly Implemented Security Check for Standard), o que sugere que alguma verificação interna do motor — possivelmente relacionada a tipos, otimização JIT ou checagem de limites — foi implementada de forma incorreta e pode ser manipulada para corromper heap.

O relatório original (bug 356196918 do Chromium, reportado por um pesquisador identificado como 'TheDog' em 30/07/2024, com recompensa de US$ 11.000) permanece com acesso restrito no rastreador de issues do Chromium — prática padrão do Google para reter detalhes até que a maioria dos usuários tenha atualizado. Isso significa que o mecanismo exato (qual API do V8, qual tipo de objeto, qual sequência de operações leva à corrupção) não está publicamente documentado nas fontes disponíveis; qualquer descrição mais granular seria especulação.

O vetor de ataque exige apenas uma página HTML capaz de acionar o caminho de código vulnerável no V8, consistente com AV:N/AC:L do CVSS — a exploração em si não depende de configuração não padrão do navegador.

O vetor é uma página HTML/JavaScript maliciosa entregue remotamente — via link, anúncio malicioso, site comprometido ou watering hole. O CVSS marca UI:R (interação do usuário necessária): a vítima precisa visitar a página, mas não há outro pré-requisito de autenticação ou privilégio. Não há indicação nas fontes de que a falha exija configuração especial do Chrome.

O Google confirmou, em atualização ao seu próprio comunicado de 26/08/2024, que exploits para CVE-2024-7965 (e também para CVE-2024-7971, corrigida no mesmo release) já existiam in the wild antes do patch. A CISA adicionou a CVE ao catálogo KEV em 28/08/2024 com prazo de correção até 18/09/2024, confirmando exploração ativa confirmada, não apenas teórica. Não há, nas fontes consultadas, detalhes sobre o ator de ameaça, escala da campanha ou se foi usada isoladamente ou como parte de uma cadeia com escape de sandbox.

Como é falha em V8, o resultado típico de corrupção de heap nesse componente é execução de código dentro do processo de renderização; para controle total do sistema normalmente é necessário encadear com uma segunda falha de escape de sandbox — mas essa cadeia específica não está documentada nas fontes disponíveis.

Atualizar para Chrome 128.0.6613.84 (Linux) ou 128.0.6613.84/.85 (Windows e Mac), que corrigem a falha. A CISA orienta aplicar as mitigações do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível — e, para navegador de uso diário, a única mitigação real é a atualização; não há flag de configuração ou controle compensatório documentado que neutralize a falha no V8.

Como a falha está no V8 (componente compartilhado por todo o ecossistema Chromium), navegadores derivados — Microsoft Edge, Opera e outros citados pela CISA — também estão potencialmente expostos e precisam do patch equivalente de suas respectivas distribuições; as fontes não trazem os números de versão específicos desses forks, então cabe verificar o advisory de cada um.

Desabilitar JavaScript mitigaria o vetor, mas quebra a usabilidade da maioria dos sites — não é uma mitigação prática recomendável, apenas um paliativo extremo para ambientes de alto risco sem outra opção.

Não há indicadores de comprometimento públicos nas fontes consultadas — o Google não divulgou detalhes da exploração observada, e o bug no rastreador do Chromium permanece restrito. Na prática, a exploração de falhas de heap corruption em V8 via página HTML deixa pouco rastro observável em logs de rede convencionais (é executada client-side no processo de renderização); a defesa realista é garantir atualização de versão, não detecção por assinatura.