CVE-2021-21166

Falha de condição de corrida (data race) no subsistema de áudio do Chrome que pode levar a corrupção de heap, explorável remotamente por uma página HTML maliciosa. O Google confirmou exploração ativa in the wild antes da correção, o que motivou sua entrada no catálogo KEV da CISA — o dado mais relevante da CVE, já que o CVSS por si só não captura isso.

A vulnerabilidade está classificada pelo Google como 'Object lifecycle issue in audio' no changelog de segurança do Chrome 89, enquanto a descrição oficial do NVD a descreve como 'data race in audio'. As duas caracterizações não são contraditórias: um data race entre threads que manipulam objetos do pipeline de áudio pode resultar em uso de um objeto após sua liberação (problema de ciclo de vida), e a corrupção de memória decorrente é o que se manifesta como heap corruption explorável. Isso se aproxima de CWE-362 (condição de corrida) com consequência prática de CWE-416 (use-after-free).

O bug foi reportado internamente por Alison Huffman, da Microsoft Browser Vulnerability Research, em 11 de fevereiro de 2021 (rastreado como crbug.com/1177465). Não há detalhes públicos do código afetado nem do fluxo exato de audio pipeline envolvido — o Google manteve os detalhes do bug restritos, prática padrão até que a maioria dos usuários receba a correção.

O atacante não controla diretamente ponteiros ou offsets; ele controla o timing e a estrutura da página/JS que aciona o processamento de áudio, criando a janela de corrida entre threads que leva à corrupção. É esse controle indireto sobre timing e sequência de operações — típico de bugs de concorrência — que torna a exploração mais complexa de desenvolver que um buffer overflow clássico, mas ainda viável, como demonstrado pela exploração in the wild.

O vetor é uma página HTML maliciosa que o usuário precisa visitar (UI:R no vetor CVSS) — não há necessidade de autenticação ou configuração não padrão do navegador. O acesso é puramente remoto: qualquer site controlado pelo atacante, ou um site legítimo comprometido/com anúncio malicioso, é suficiente como ponto de entrada, desde que a página use APIs de áudio para acionar a condição de corrida.

O Google declarou explicitamente, no mesmo release notes que introduziu a correção, estar ciente de relatos de um exploit para CVE-2021-21166 em uso real antes do patch — não uma suposição de pesquisador, mas afirmação do próprio fornecedor. Isso justifica a presença no catálogo KEV da CISA. Não há, nas fontes disponíveis, detalhes técnicos publicados sobre a cadeia completa de exploração (ex.: se foi combinada com um bug de sandbox escape para execução de código fora do processo renderer), então o alcance prático — corrupção de heap dentro do renderer versus comprometimento total do sistema — depende de outras vulnerabilidades encadeadas que não foram documentadas nas fontes lidas.

O impacto declarado (CVSS C:H/I:H/A:H) indica potencial de leitura, alteração e negação de serviço, consistente com corrupção de heap controlável que pode evoluir para execução de código arbitrário no contexto do processo de renderização do Chrome.

A correção definitiva é atualizar para o Chrome 89.0.4389.72 ou posterior, lançado em 2 de março de 2021 para Windows, Mac e Linux. Distribuições Linux que empacotam Chromium separadamente publicaram suas próprias atualizações logo depois: Fedora 32/33/34 corrigiram na série 89.0.4389.82 e depois 89.0.4389.90 (esta última também resolveu um problema de estabilidade em components/cast_*, não relacionado à segurança), Debian via DSA-4886 e Gentoo via GLSA 202104-08.

Não há paliativo de configuração conhecido e documentado nas fontes consultadas — não existe flag de linha de comando ou política de grupo que desative seletivamente o subsistema de áudio afetado sem quebrar funcionalidade padrão do navegador (WebAudio, elementos /). Bloquear JavaScript de forma agressiva reduz a superfície de ataque mas não é uma mitigação suportada nem documentada pelo fornecedor para esta CVE específica.

O único controle real é a atualização do binário do Chrome/Chromium (ou de qualquer produto embarcado que reutilize o motor Blink/Chromium, como Electron ou navegadores derivados) para uma versão igual ou posterior à corrigida. Ambientes com Chrome gerenciado centralmente devem verificar se a política de atualização automática está ativa, já que a exploração ativa relatada pelo próprio Google elimina a margem para adiar o patch.

Não há assinatura de rede ou padrão de log de servidor confiável para detectar tentativas de exploração desta falha, já que o ataque ocorre inteiramente no lado do cliente, dentro do processo de renderização do Chrome, acionado por JavaScript/HTML que manipula APIs de áudio. Do lado do endpoint, crashes do processo renderer relacionados a componentes de áudio (visíveis em relatórios de crash internos do Chrome ou em soluções de EDR que monitoram falhas de processos do navegador) podem ser um indício indireto, mas não são exclusivos desta CVE nem confirmam exploração deliberada.