jueves, 28 de marzo de 2013

Google corrige diez vulnerabilidades en Chrome

Google ha publicado la versión 26.0.1410.43 de su navegador Chrome para todas las plataformas (Windows, Linux, Mac y Chrome Frame). Esta nueva versión corrige diez vulnerabilidades de diversa importancia.


  • Dos vulnerabilidades de impacto alto: con el CVE-2013-0916, un uso de memoria previamente liberada en Web Audio descubierta por Atte Kettunen de OUSPG (que ha sido premiado con $1000 por Google). La segunda, que no ha sido atribuida, tiene identificador CVE-2013-0921 y trata el salto de restricciones de la funcionalidad Isolated Sites, que puede permitir a los procesos que inicia una web acceder a los de otra.
       
  • Otras dos vulnerabilidades de impacto medio: Un fallo en el manejo de contenido activo en elementos EMBED durante una operación de copia y pegado (con identificador CVE-2013-0926), descubierta por Subho Halder, Dev Kar y Aditya Gupta de xys3c. Por otro lado y con CVE-2013-0920, un use-after free en la API de marcadores, reportada por Mustafa Emre Acer, del Google Chrome Security Team.
        
  • Por último, seis vulnerabilidades de perfil bajo, entre las que destacan: Un uso de memoria ya liberada aprovechando extensiones que muestran ventanas emergentes (CVE-2013-0919). De nuevo por Mustafa Emre Acer, esta vulnerabilidad solo está presente en plataformas Linux.

También una falta de restricciones en el número de intentos para llevar a cabo una autenticación HTTP básica, que permitía el uso de fuerza bruta, reportada por "t3553r" y con identificador CVE-2013-0922. Por último, CVE-2013-0923, un fallo que permite la corrupción de la memoria a través de la API USB.

Además de las soluciones de seguridad, Google introduce con esta versión mejoras para el corrector ortográfico y la posibilidad de crear accesos directos para usar Chrome con distintos perfiles.

Esta actualización está disponible a través del propio navegador vía Chrome Update automáticamente o desde el sitio oficial de descarga:

Más información:

Stable Channel Update




Francisco López

No hay comentarios:

Publicar un comentario en la entrada