CVE-2024-7965
Prioritize patching. It under exploitation confirmed by CISA and has a public proof of concept.
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Summary
Falha de implementação no motor JavaScript V8 do Chrome que permite corrupção de heap a partir de uma página HTML maliciosa, sem exigir nada além de o usuário abrir a página. Foi explorada ativamente antes da correção — está no catálogo KEV da CISA — o que eleva a prioridade de patch mesmo sem detalhes técnicos públicos sobre o bug.
Technical detail
A vulnerabilidade está classificada pelo Chromium como 'inappropriate implementation' no V8, categoria genérica usada para erros de lógica/verificação de segurança (não necessariamente um overflow clássico). A CISA classifica a falha como CWE-358 (Improperly Implemented Security Check for Standard), o que sugere que alguma verificação interna do motor — possivelmente relacionada a tipos, otimização JIT ou checagem de limites — foi implementada de forma incorreta e pode ser manipulada para corromper heap.
O relatório original (bug 356196918 do Chromium, reportado por um pesquisador identificado como 'TheDog' em 30/07/2024, com recompensa de US$ 11.000) permanece com acesso restrito no rastreador de issues do Chromium — prática padrão do Google para reter detalhes até que a maioria dos usuários tenha atualizado. Isso significa que o mecanismo exato (qual API do V8, qual tipo de objeto, qual sequência de operações leva à corrupção) não está publicamente documentado nas fontes disponíveis; qualquer descrição mais granular seria especulação.
O vetor de ataque exige apenas uma página HTML capaz de acionar o caminho de código vulnerável no V8, consistente com AV:N/AC:L do CVSS — a exploração em si não depende de configuração não padrão do navegador.
How it’s exploited
O vetor é uma página HTML/JavaScript maliciosa entregue remotamente — via link, anúncio malicioso, site comprometido ou watering hole. O CVSS marca UI:R (interação do usuário necessária): a vítima precisa visitar a página, mas não há outro pré-requisito de autenticação ou privilégio. Não há indicação nas fontes de que a falha exija configuração especial do Chrome.
O Google confirmou, em atualização ao seu próprio comunicado de 26/08/2024, que exploits para CVE-2024-7965 (e também para CVE-2024-7971, corrigida no mesmo release) já existiam in the wild antes do patch. A CISA adicionou a CVE ao catálogo KEV em 28/08/2024 com prazo de correção até 18/09/2024, confirmando exploração ativa confirmada, não apenas teórica. Não há, nas fontes consultadas, detalhes sobre o ator de ameaça, escala da campanha ou se foi usada isoladamente ou como parte de uma cadeia com escape de sandbox.
Como é falha em V8, o resultado típico de corrupção de heap nesse componente é execução de código dentro do processo de renderização; para controle total do sistema normalmente é necessário encadear com uma segunda falha de escape de sandbox — mas essa cadeia específica não está documentada nas fontes disponíveis.
Versions
How to protect
Atualizar para Chrome 128.0.6613.84 (Linux) ou 128.0.6613.84/.85 (Windows e Mac), que corrigem a falha. A CISA orienta aplicar as mitigações do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível — e, para navegador de uso diário, a única mitigação real é a atualização; não há flag de configuração ou controle compensatório documentado que neutralize a falha no V8.
Como a falha está no V8 (componente compartilhado por todo o ecossistema Chromium), navegadores derivados — Microsoft Edge, Opera e outros citados pela CISA — também estão potencialmente expostos e precisam do patch equivalente de suas respectivas distribuições; as fontes não trazem os números de versão específicos desses forks, então cabe verificar o advisory de cada um.
Desabilitar JavaScript mitigaria o vetor, mas quebra a usabilidade da maioria dos sites — não é uma mitigação prática recomendável, apenas um paliativo extremo para ambientes de alto risco sem outra opção.
How to detect
Não há indicadores de comprometimento públicos nas fontes consultadas — o Google não divulgou detalhes da exploração observada, e o bug no rastreador do Chromium permanece restrito. Na prática, a exploração de falhas de heap corruption em V8 via página HTML deixa pouco rastro observável em logs de rede convencionais (é executada client-side no processo de renderização); a defesa realista é garantir atualização de versão, não detecção por assinatura.