Justin Schuh, o director de engenharia e segurança da Google para o Chrome avisou os utilizadores do browser mais popular do mundo que devem actualizá-lo o mais depressa possível porque existe uma vulnerabilidade de segurança ‘zero-day’ que, segundo o Google Threat Analysis Group, já está a ser explorada por hackers.
Apesar da informação acerca da ameaça CVE-2019-5786 ser algo escassa, Satnam Narang, analista de segurança da Tenable, indica que é uma vulnerabilidade “Use-After-Free” no FileReader, uma API (Application Programing Interface) que está incluída nos browsers para permitir às aplicações web lerem o conteúdo dos ficheiros guardados no computador do utilizador.
Esta vulnerabilidade pode ser explorada, neste caso, através de ficheiros PDF que contêm instruções para contactar um servidor para colocar lá informações acerca do dispositivo do utilizador, como o endereço IP, versão do sistema operativo, versão do Chrome e o caminho para o ficheiro PDF no disco do utilizador. Esta informação pode ser utilizada para rastreamento das actividades do utilizador, mas há a possbilidade de ser utilizada para fins menos bons. Uma vulnerabilidade “Use-After-Free” é uma falha em que uma zona da memória do dispositivo é corrompida e que pode elevar os privilégios de acesso à informação lá gravada por parte de um utilizador não autorizado, se o conteúdo dessa zona da memória for alterado.
Esta é a razão que levou a Google a avisar os utilizadores porque se esta vulnerabilidade for explorada existe o potencial de um atacante executar código arbitrário (leia-se um programa não autorizado) à margem de todos os sistema de segurança do browser.
Como se proteger
Este problema específico é de fácil resolução. Em primeiro lugar aceda ao menu do Chrome, para tal clique nos três pontos na vertical que estão no canto superior direito da janela do browser e escolha a opção ‘Ajuda’, ‘Acerca do Google Chrome’ (‘Help’, ‘About Google Chrome’). Em alteranativa pode escrever no campo onde insere os URL ‘chrome://settings/help’ (sem as plicas). De seguida aparece na janela informação acerca da versão que está instalada e se existe alguma actualização disponível. Para estar a salvo desta vulnerabilidade tem de estar a utilizar a versão 72.0.3626.121 (Official Build). Se não estiver faça a actualização.
