CVE-2018-17480

Falha de out-of-bounds write no motor JavaScript V8 do Google Chrome, disparada durante a desserialização de um array a partir de JavaScript controlado pelo atacante. Permite execução de código arbitrário dentro do sandbox do renderer via uma página HTML maliciosa, exigindo apenas que a vítima abra o link — sem autenticação nem configuração especial. Está no catálogo KEV da CISA como exploração conhecida, mas o registro do KEV é de 2022, quatro anos após a correção original, o que sugere reaproveitamento tardio da vulnerabilidade (ex.: cadeias de exploit reciclando bugs antigos) e não necessariamente uma onda de ataques em 2018.

A CVE-2018-17480 é uma escrita fora dos limites de memória (CWE-787) no V8, o motor JavaScript do Chromium. O gatilho ocorre durante a desserialização de um array — um caminho de código que reconstrói estruturas de array a partir de dados/JS fornecidos pelo próprio script em execução na página. O atacante controla o conteúdo e a forma desse array, o que permite forçar o motor a escrever além dos limites do buffer alocado internamente, corrompendo memória adjacente no heap do processo de renderização.

O vetor é uma página HTML/JavaScript maliciosa: a vítima precisa apenas visitá-la (UI:R no CVSS — interação do usuário necessária, mas nenhuma ação além de carregar a página). Não há pré-requisito de autenticação, configuração não padrão ou acesso de rede privilegiado; o ataque é feito pela internet contra qualquer usuário do Chrome não atualizado. A corrupção de memória no V8 é usada como primitivo inicial de uma cadeia de exploração para conseguir execução de código arbitrário — mas contida dentro do sandbox do processo renderer do Chrome, ou seja, sozinha não compromete o sistema; normalmente é combinada com um bug de escape de sandbox para ganhar execução fora do renderer. A falha foi reportada por um pesquisador da Qihoo 360 (Alpha Team) através da competição Tianfu Cup em novembro de 2018, o que indica que foi demonstrada em ambiente controlado de pesquisa antes de qualquer exploração documentada em campanhas reais. A presença no catálogo KEV da CISA (adicionada em 2022) confirma exploração ativa em algum momento, mas as fontes disponíveis não detalham a campanha, o autor da exploração maliciosa nem o contexto temporal exato dela.

Atualizar o Google Chrome (e navegadores baseados em Chromium, como versões afetadas de Chromium standalone) para a versão 71.0.3578.80 ou posterior elimina a falha — o Chrome se atualiza automaticamente na maioria das instalações, mas ambientes com atualização gerenciada/bloqueada devem forçar o rollout. Distribuições Linux que empacotam Chromium separadamente precisaram de builds próprios: RHEL 6 Supplementary corrigiu via RHSA-2018:3803 (chromium-browser 71.0.3578.80), e a Gentoo só formalizou a correção completa do conjunto de CVEs de 2018 (incluindo esta) na versão 76.0.3809.100 do pacote, bem depois do fix upstream — ou seja, distros que atrasam o empacotamento deixam a janela de exposição muito maior que a data do patch original do Google. Não há workaround de configuração conhecido: desabilitar JavaScript inteiramente neutraliza o vetor mas quebra a maioria dos sites, e não existe flag específica do V8 documentada como mitigação parcial confiável — a única correção real é a atualização binária do navegador.

Não há assinatura de rede ou log de servidor confiável para detectar tentativas de exploração, já que o ataque ocorre inteiramente no lado do cliente, dentro do processo de renderização do navegador, via JavaScript embutido em uma página. Sinais possíveis incluem crashes ou comportamento anômalo do processo renderer do Chrome (relatados por soluções de EDR que monitoram sandboxes de navegador) e análise de amostras de HTML/JS suspeitas capturadas por proxies ou sandboxes de detonação, mas nenhuma das fontes consultadas descreve um indicador de comprometimento específico para esta CVE.