CVE-2019-5786: Vulnerabilidade de Use-After-Free no Blink do Google Chrome

Visão geral

A CVE-2019-5786 afeta o motor de renderização Blink do Google Chrome. O registro a descreve como um problema de tempo de vida de objeto e a associa à CWE-416 (Use After Free). Segundo a descrição, um atacante remoto poderia potencialmente causar acesso à memória fora dos limites levando o usuário a abrir uma página HTML elaborada.

Impacto

O NVD atribui nota 6,5 (média) pelo CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H, que no registro indica alto impacto na disponibilidade e nenhum impacto na confidencialidade ou integridade.
O vetor registrado exige interação do usuário (UI:R), o que é coerente com o cenário de página elaborada descrito (inferência).
Os dados SSVC do registro classificam o impacto técnico como parcial e a automatizabilidade como não.

Produtos e versões afetadas

Google Chrome: versões anteriores à 72.0.3626.121.
npm Puppeteer: versões anteriores à 1.13.0. O registro indica a 1.13.0 como versão corrigida, com referência ao aviso GitHub GHSA-c2gp-86p4-5935.
O registro não informa uma versão corrigida separada para o Google Chrome. O limite indicado na descrição é a 72.0.3626.121, portanto builds nessa versão ou posteriores são presumivelmente não afetados (inferência).

Status de exploração

O catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA lista a CVE-2019-5786, com data de inclusão em 2022-05-23 e prazo em 2022-06-13. Isso significa que a vulnerabilidade consta como explorada na natureza. O campo de uso em ransomware do registro está como desconhecido.

Correção e mitigação

Atualize o Google Chrome para a versão 72.0.3626.121 ou posterior, ou para uma versão estável atual com suporte.
Atualize o npm Puppeteer para a versão 1.13.0 ou posterior em todos os projetos que o utilizam, e regenere os arquivos de lock.
Siga a ação exigida pelo KEV, que é aplicar as atualizações conforme as instruções do fornecedor.
Enquanto a correção não for concluída, limite a navegação em conteúdo não confiável em sistemas sem correção e priorize endpoints expostos à internet ou de alto valor.

Orientação de detecção

Faça o inventário das versões do navegador nos endpoints e identifique instalações abaixo de 72.0.3626.121.
Faça o inventário de projetos Node.js e revise manifestos e arquivos de lock em busca de versões do puppeteer abaixo de 1.13.0.
Revise a telemetria dos endpoints em busca de falhas inesperadas de processos de renderização, como indicador geral de problemas de corrupção de memória. Trata-se de heurística geral, não de uma assinatura publicada pelas fontes.

Limitações das informações disponíveis

O registro não descreve as condições exatas de acionamento, as plataformas afetadas nem os canais de lançamento do Chrome envolvidos além do limite de versão.
A descrição menciona acesso à memória fora dos limites, enquanto a CWE é Use After Free. O registro não concilia essas duas caracterizações.
A análise da Exodus Intelligence é citada como referência, mas este portal não reproduz detalhes de exploração e não fornece passos técnicos de ataque.

Perguntas frequentes

A CVE-2019-5786 é explorada?

Sim. O catálogo KEV da CISA a lista, com data de inclusão em 2022-05-23 e prazo em 2022-06-13.

Quais versões são afetadas?

Segundo o registro, o Google Chrome anterior à 72.0.3626.121 e o npm Puppeteer anterior à 1.13.0.

O que fazer primeiro?

Atualize o Chrome para a 72.0.3626.121 ou posterior, atualize o Puppeteer para a 1.13.0 ou posterior nos projetos dependentes e faça o inventário para encontrar sistemas ainda abaixo desses limites.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.