CVE-2021-21148

Falha de heap buffer overflow no V8, o motor JavaScript do Chrome, corrigida na versão 88.0.4324.150. O Google confirmou que um exploit para essa falha já circulava ativamente antes da correção, o que a levou ao catálogo KEV da CISA — não é uma vulnerabilidade teórica, foi usada em ataques reais contra usuários do Chrome.

A falha (bug interno crbug.com/1170176, reportado por Mattias Buelens em 24/01/2021) é uma corrupção de heap dentro do V8, classificável como CWE-122 (Heap-based Buffer Overflow). O Google não publicou detalhes técnicos completos do bug — manteve a prática padrão de restringir informação até que a maioria dos usuários atualizasse — e as fontes disponíveis não detalham a função ou o objeto exato do V8 onde a escrita fora dos limites ocorre.

Um indício relevante é o título do PoC público catalogado ("Chrome Array Transfer Bypass"), que sugere que o bug envolve manipulação de arrays/ArrayBuffers e algum tipo de bypass de verificação de limites ligado a operações de transferência (transfer) de buffers — um padrão comum em bugs de V8 onde o motor perde a referência correta de tamanho/estado de um buffer após ele ser redimensionado, desanexado (detached) ou transferido, permitindo que código JavaScript leia ou escreva além da região de memória alocada.

Como o bug está no motor de execução de JavaScript, qualquer página web capaz de rodar script arbitrário pode acionar o caminho de código vulnerável. O atacante controla o conteúdo JavaScript da página — incluindo a estrutura e as operações sobre arrays/buffers que disparam o overflow — mas não há, nas fontes analisadas, confirmação pública do primitivo exato (leitura ou escrita, e com que granularidade) obtido antes de qualquer técnica adicional de exploração.

O vetor é uma página HTML maliciosa: a vítima só precisa abri-la no Chrome vulnerável (UI:R no vetor CVSS — interação do usuário necessária, mas nenhuma autenticação ou configuração especial). Não há pré-condição de rede, permissão ou configuração não padrão: qualquer instalação padrão do Chrome antes da versão corrigida está exposta a esse vetor.

O Google declarou publicamente, no anúncio da atualização, estar ciente de relatos de que um exploit para o CVE-2021-21148 existia in the wild antes do patch — frase que motivou sua inclusão no catálogo KEV da CISA como vulnerabilidade com exploração confirmada. As fontes disponíveis não detalham o grupo ou campanha responsável, nem se o exploit observado usava a falha isolada (corrupção de heap no renderer, útil para RCE dentro do sandbox de conteúdo) ou encadeada com uma vulnerabilidade de escape de sandbox para execução de código fora do processo do renderer — esse encadeamento é o padrão típico para bugs de V8 dessa natureza, mas não está confirmado aqui.

A severidade CVSS 8.8 (C:H/I:H/A:H) reflete o potencial de comprometimento total caso o overflow seja convertido em execução de código controlado — o que exige, tipicamente, engenharia adicional sobre a corrupção de heap (heap grooming, controle de layout de objetos) além do simples acionamento do bug.

Atualizar o Google Chrome para a versão 88.0.4324.150 ou superior é a correção definitiva; o Chrome faz isso automaticamente na maioria dos casos, mas ambientes com atualização gerenciada (GPO, MDM) devem forçar o rollout imediatamente dado o registro de exploração ativa. Distribuições Linux publicaram pacotes próprios com a mesma correção: Fedora 32/33 via chromium-88.0.4324.150-1, Debian via DSA-4858, e Gentoo eventualmente consolidou a correção (entre outras CVEs de V8) no pacote www-client/chromium e www-client/google-chrome >= 90.0.4430.93.

Não há workaround de configuração conhecido — o próprio advisório do Gentoo declara explicitamente "There is no known workaround at this time" para o conjunto de CVEs que inclui esta. Como o bug está no V8, desabilitar JavaScript neutraliza o vetor, mas isso quebra a usabilidade da maioria dos sites e não é uma mitigação prática para navegação geral — só serve como controle compensatório extremo em máquinas de alto risco que não podem ser atualizadas imediatamente.

Não existe mitigação via WAF ou controle de rede, porque a exploração ocorre inteiramente no lado do cliente, dentro do motor de renderização do navegador — filtrar tráfego não impede o carregamento de uma página HTML/JS maliciosa nem a execução do bug. Navegadores baseados em Chromium (forks e derivados) dependiam de suas próprias atualizações incorporando o mesmo fix do V8; não há informação nas fontes sobre cronograma específico desses forks.

Não há assinatura de rede ou padrão de log confiável para detectar tentativas de exploração dessa falha — o bug é acionado inteiramente no lado do cliente, dentro da execução de JavaScript no processo renderer do Chrome, e um heap overflow bem-sucedido normalmente não deixa rastro de rede distinto de navegação comum. Na ausência de instrumentação (crash reporting detalhado, EDR com visibilidade de processo de navegador, ou análise de página suspeita antes da execução), o único sinal prático disponível é: crashes anômalos do processo renderer do Chrome associados ao carregamento de páginas específicas, correlacionados com a janela de exposição (antes de 4 de fevereiro de 2021) e com o updated_at do CISA KEV, que confirma exploração conhecida mas não fornece IOCs públicos nas fontes consultadas.