• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / General / Chrome: alrededor del 70% de los errores graves son problemas de seguridad relacionados con la administración de la memoria

Chrome: alrededor del 70% de los errores graves son problemas de seguridad relacionados con la administración de la memoria

25 mayo, 2020 Por Jesús Álvarez

Aproximadamente el 70% de todos los errores de seguridad graves en la base del código de Chrome son errores de administración de memoria, según dijeron los ingenieros de Google esta semana.

La mitad de ese 70% son vulnerabilidades user-after-free, un tipo de problema de seguridad que surge de la administración incorrecta de los punteros de memoria (direcciones), dejando las puertas abiertas para que los atacantes puedan atacar los componentes internos de Chrome.

El porcentaje fue calculado después de que los ingenieros de Google analizaran 912 errores de seguridad arreglados en la rama estable de Chrome desde 2015, errores que tenían una calificación de severidad «alta» o «crítica».

El número es idéntico a las estadísticas compartidas por Microsoft. En una conferencia de seguridad en febrero de 2019, los ingenieros de Microsoft dijeron que durante los últimos 12 años, alrededor del 70% de todas las actualizaciones de seguridad para los productos de Microsoft arreglaban las vulnerabilidades provocadas por la gestión de la memoria.

Fuente: Google

Ambas empresas se enfrentan básicamente al mismo problema: C y C++. Los dos lenguajes de programación predominantes en sus bases de datos de código, son lenguajes «inseguros».

Son lenguajes que llevan con nosotros desde hace décadas, cuando la explotación de la seguridad y los ciberataques no eran un modelo de amenaza relevante y estaban lejos de la mente de la mayoría de los primeros desarrolladores de software.

Como resultado, tanto C como C++ permiten a los programadores tener un control total sobre la forma en que gestionan los punteros de memoria (direcciones) de una aplicación y no vienen con restricciones o advertencias para evitar o alertar a los desarrolladores cuando están cometiendo errores básicos de gestión de memoria.

Estos errores de programación provocan que se introduzcan vulnerabilidades de gestión de memoria en las aplicaciones. Esto incluye vulnerabilidades como user-after-free, desbordamiento de búfer -más conocido con su traducción inglesa, buffer overflow-, condiciones de carrera, doble libre, punteros salvajes y otras.

Estas vulnerabilidades de gestión de memoria son los errores más buscados por los atacantes, ya que pueden concederles la capacidad de introducir código dentro de la memoria de un dispositivo y hacer que lo ejecute la aplicación víctima (navegador, servidor, sistema operativo, etc.).

En un ránking publicado a principios de año, la Corporación MITRE, la organización que gestiona la base de datos de vulnerabilidades del gobierno estadounidense, clasificó el buffer overflow como la vulnerabilidad más peligrosa, con otros dos problemas relacionados con la gestión de la memoria también clasificados entre los 10 primeros (out-of-bounds read en #5 y use-after-free on #7).

A medida que la ingeniería de software ha avanzado en los últimos años, los desarrolladores han ido mejorando en la eliminación de la mayoría de los fallos de seguridad y en la adición de protecciones de seguridad, pero no para las vulnerabilidades de gestión de memoria.

Google dice que desde marzo de 2019, 125 de las 130 vulnerabilidades de Chrome con una clasificación de severidad «crítica» eran problemas relacionados con la corrupción de la memoria, lo que demuestra que, a pesar de los avances en la corrección de otras clases de errores, la gestión de la memoria sigue siendo un problema.

El problema de los errores de administración de memoria ha sido un problema tan grande en Google que los ingenieros de Chrome ahora tienen que seguir «La regla del 2».

De acuerdo con esta regla, cada vez que los ingenieros escriben una nueva característica de Chrome, su código no debe romper más de dos de las siguientes condiciones:

  • El código maneja entradas no confiables
  • El código funciona sin caja de arena
  • El código está escrito en un lenguaje de programación inseguro (C/C++)
Fuente: Google

Aunque muchas compañías de desarrollo software han intentado en el pasado arreglar los problemas de administración de memoria de C y C++, Mozilla ha sido el que ha hecho un gran avance al patrocinar, promover y adoptar fuertemente el lenguaje de programación Rust en Firefox.

Hoy en día, Rust está considerado como uno de los lenguajes de programación más seguros y un sustituto ideal del C y el C++, principalmente debido a los primeros esfuerzos de Mozilla.

Pero Mozilla no ha sido la única organización que se ha cansado de lidiar con código C y C++ propenso a los errores. Microsoft también está invirtiendo fuertemente en la exploración de alternativas de C y C++. Desde sus primeros proyectos de C comprobado, la compañía está experimentando con Rust, y también está construyendo su propio lenguaje de programación «seguro» similar a Rust (parte del secreto Proyecto Verona).

Hablando en la conferencia virtual de Build esta semana, Microsoft dijo que estos dos esfuerzos han sido exitosos, y la compañía se re-dedicó a adoptar un lenguaje de programación seguro en el futuro.

Google también ha anunciado planes similares esta semana. La compañía dijo que también planea investigar «abordar el problema de la inseguridad al gestionar la memoria» para Chrome, el navegador web más popular de hoy en día, utilizado por casi el 70% de los usuarios de Internet.

Más información:
Informe de The Chromium Projects
https://www.chromium.org/Home/chromium-security/memory-safety

¿Qué se dice en la red?
https://developers.slashdot.org/story/20/05/24/1349204/chromium-project-finds-70-of-its-serious-security-bugs-are-memory-safety-problems

ZDNet
https://www.zdnet.com/article/chrome-70-of-all-security-bugs-are-memory-safety-issues/

Acerca de Jesús Álvarez

Jesús Álvarez Ha escrito 38 publicaciones.

  • View all posts by Jesús Álvarez →
  • Blog

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Publicado en: General, Vulnerabilidades Etiquetado como: Chrome, chromium, Google, Microsoft, user-after-free

Interacciones con los lectores

Comentarios

  1. Juan Ranchal dice

    27 mayo, 2020 a las 1:12 pm

    Es común , aunque solo sea por estilo, enlazar a los sitios de donde se saca la información. Hay párrafos enteros copiados de aquí https://www.muyseguridad.net/2020/05/25/vulnerabilidades-de-chrome-memoria/

    Gracias

    • Jesús Álvarez dice

      27 mayo, 2020 a las 1:43 pm

      Hola, Juan:

      En primer lugar, muchas gracias por comentar. En este caso, hay partes del artículo que se han traducido y complementado tomando como referencia el post original de Chromium así como otras fuentes de habla inglesa.

      Puede llegar a suceder que otro redactor coincida en las mismas fuentes, obteniendo un resultado que pudiera ser similar.

      Todas las referencias usadas en este artículo se pueden encontrar en el pie del mismo como es habitual.

      Un saludo.

  2. Juan Ranchal dice

    28 mayo, 2020 a las 1:36 pm

    Sí, traducidas hasta las «comas» 😀
    O con fecha de publicación del 22 de mayo cuando una de sus «referencias» (ZDnet) publicó un día después, el 23.. No pierdo un segundo más. Nos sobra tráfico, pero no son maneras. Ustedes sabrán

    • Jesús Álvarez dice

      28 mayo, 2020 a las 2:41 pm

      Hola de nuevo,

      Sí, parece que hubo un error en la fecha de publicación, ya lo hemos corregido. Pedimos disculpas y muchas gracias por avisar.

      Saludos.

Barra lateral principal

Buscar

Síguenos

siguenos en twitter

UAD360 EDICIÓN 2022

https://www.youtube.com/watch?v=go_CSWK56yU

Populares de UAD

  • Vulnerabilidad zero-day en AWS Glue
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Tamagotchi para hackers: Flipper Zero
  • Evasión de CloudTrail en AWS a través de API no documentada
  • Técnica permite modificar ficheros PDF con firma digital

Entradas recientes

  • Vulnerabilidad zero-day en AWS Glue
  • Evasión de CloudTrail en AWS a través de API no documentada
  • Parches de enero 2023: Microsoft corrige 98 vulnerabilidades
  • UAD se abre a la comunidad
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Vulnerabilidades críticas en productos de Synology
  • Más de dos docenas de errores de WordPress explotados por un nuevo malware de Linux
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

UAD

UAD nació a raíz de un inocente comentario en un canal IRC hace 24 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Aviso Legal

  • Aviso Legal
  • Términos y Condiciones
  • Política de Privacidad
  • Política de Cookies

Copyright © 2023 · Hispasec Sistemas, S.L. Todos los derechos reservados

Este sitio web utiliza cookies propias y de terceros para fines analíticos y para mostrarte publicidad (tanto general como personalizada) relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas), para optimizar la web y para poder valorar las opiniones de los servicios consultados por los usuarios. Para administrar o deshabilitar estas cookies haz clic en: Configurar Cookies


Rechazar todo Aceptar Todo
Configurar Cookies

Resumen de privacidad

Este sitio web utiliza cookies para mejorar su experiencia mientras navega por el sitio web. De estas, las cookies que se clasifican como necesarias se almacenan en su navegador, ya que son esenciales para el funcionamiento de las funcionalidades básicas del sitio web. También utilizamos cookies de terceros que nos ayudan a analizar y comprender cómo utiliza este sitio web. Estas cookies se almacenarán en su navegador solo con su consentimiento. También tiene la opción de optar por no recibir estas cookies. Pero la exclusión voluntaria de algunas de estas cookies puede afectar su experiencia de navegación.
Necesaria
Siempre activado
Las cookies necesarias son absolutamente esenciales para que el sitio web funcione correctamente. Estas cookies garantizan funcionalidades básicas y características de seguridad del sitio web, de forma anónima.
CookieDuraciónDescripción
cookielawinfo-checkbox-analytics11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Análisis".
cookielawinfo-checkbox-functional11 monthsLa cookie está configurada por el consentimiento de cookies de GDPR para registrar el consentimiento del usuario para las cookies en la categoría "Funcional".
cookielawinfo-checkbox-necessary11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. Las cookies se utilizan para almacenar el consentimiento del usuario para las cookies en la categoría "Necesario".
cookielawinfo-checkbox-others11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Otro.
cookielawinfo-checkbox-performance11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Rendimiento".
viewed_cookie_policy11 monthsLa cookie está configurada por el complemento de consentimiento de cookies de GDPR y se utiliza para almacenar si el usuario ha dado su consentimiento o no para el uso de cookies. No almacena ningún dato personal.
Analítica
Las cookies analíticas se utilizan para comprender cómo interactúan los visitantes con el sitio web. Estas cookies ayudan a proporcionar información sobre métricas, el número de visitantes, la tasa de rebote, la fuente de tráfico, etc.
GUARDAR Y ACEPTAR
 

Cargando comentarios...