CVE-2021-30632

Falha de escrita fora dos limites (out-of-bounds write) no motor V8 do Google Chrome, que corrompe heap a partir de uma página HTML maliciosa. A Google confirmou que exploits para esta CVE — e para a CVE-2021-30633, corrigida no mesmo lote — já circulavam ativamente antes da correção, o que a colocou no catálogo KEV da CISA com prazo de correção obrigatório para agências federais dos EUA.

O V8 é o motor de JavaScript/WebAssembly do Chrome e de todo navegador baseado em Chromium (Edge, Opera, Brave, entre outros). A falha é classificada pela CISA como CWE-122 (heap-based buffer overflow): uma operação dentro do V8 escreve dados além dos limites de um buffer alocado no heap, corrompendo estruturas de memória adjacentes.

O relatório original do bug no Chromium (crbug.com/1247763) foi enviado de forma anônima em 08/09/2021 e, seguindo a prática padrão da Google, teve os detalhes técnicos mantidos restritos até a maioria dos usuários atualizar — nenhuma das fontes consultadas aqui detalha o componente exato do V8 (parser, compilador JIT/TurboFan, ou runtime de objetos) nem a operação específica que dispara a escrita indevida. Isso significa que a mecânica exata do bug não está documentada publicamente nas fontes disponíveis; o que se sabe com certeza é a classe da falha (OOB write) e sua localização (V8).

Como em quase toda vulnerabilidade de V8 explorável remotamente, o atacante controla o conteúdo da página — HTML e o JavaScript nela embutido — e usa esse controle para manipular o layout de objetos no heap do V8 até alcançar a escrita fora dos limites. O resultado típico dessa classe de bug é corrupção de heap controlável, que serve de primitiva para escalar para execução de código dentro do processo de renderização.

Vetor de ataque é uma página HTML/JavaScript maliciosa, servida via rede (AV:N) e sem necessidade de autenticação (PR:N). O único pré-requisito de interação é o usuário abrir ou renderizar a página (UI:R do vetor CVSS) — não há exploração silenciosa sem alguma ação da vítima, como clicar num link ou visitar um site comprometido.

A própria Google declarou no advisory de lançamento que exploits para CVE-2021-30632 e CVE-2021-30633 já existiam in the wild no momento da correção, indicando uso ofensivo anterior à divulgação pública — provavelmente como parte de uma cadeia de exploração de navegador, já que uma corrupção de heap em V8 isolada normalmente não sai do processo de renderização sem um bug adicional de escape de sandbox. As fontes consultadas não confirmam se essa cadeia completa foi documentada publicamente.

Os dados fornecidos indicam existência de PoC pública, mas nenhuma das fontes lidas contém o conteúdo técnico dessa PoC — não há como descrever aqui o mecanismo de exploração além do que já foi exposto: corrupção de heap controlada via JavaScript malicioso.

A correção definitiva é atualizar o Google Chrome para a versão 93.0.4577.82 ou posterior (lançada em 13/09/2021 para Windows, Mac e Linux). Como o V8 é compartilhado por todo navegador baseado em Chromium, qualquer produto derivado (Edge, Opera, Brave, Vivaldi, etc.) precisa da atualização equivalente do seu próprio fornecedor — a CISA cita isso explicitamente no registro do KEV.

Distribuições Linux que empacotam o Chromium separadamente também precisam do pacote atualizado; o Fedora, por exemplo, corrigiu via chromium-93.0.4577.82 e, em seguida, chromium-94.0.4606.61 (que já inclui outras CVEs do mesmo período).

Não há paliativo de configuração real para essa classe de bug: desabilitar JavaScript quebra a maioria dos sites modernos e não é uma mitigação prática recomendável nas fontes consultadas. Não existe flag de linha de comando ou política de grupo documentada nas fontes lidas que neutralize especificamente essa falha — a única mitigação efetiva é a atualização do binário do navegador.

Não há assinatura de rede confiável: a exploração ocorre inteiramente client-side, dentro do processo de renderização, via JavaScript entregue normalmente por HTTPS — não existe padrão de tráfego distintivo documentado nas fontes consultadas. Os sinais mais realistas são indiretos: relatórios de crash do processo de renderização do Chrome com indicação de corrupção de heap/V8, ou comportamento anômalo do renderer (execução de código inesperado, quedas repetidas) associado à visita a uma página específica, capturados por EDR ou pelo próprio crash reporter do navegador.