CVE-2022-4135

Falha de heap buffer overflow no componente GPU do Chromium que permite escapar da sandbox do processo renderer a partir de uma página HTML maliciosa. O CVSS de 9,6 é alto, mas a exploração real depende de o atacante já ter comprometido o processo renderer por outra vulnerabilidade — este bug é o elo de escape de sandbox de uma cadeia, não o vetor de entrada inicial. Está no catálogo KEV da CISA porque o Google confirmou exploração ativa antes da correção, reportada pelo Threat Analysis Group (TAG), equipe que historicamente rastreia campanhas de spyware comercial e ataques direcionados.

A falha (CWE-787, escrita fora dos limites) está no componente de GPU do Chromium, camada responsável por processar comandos gráficos enviados pelo processo renderer ao processo GPU via IPC. Um heap buffer overflow nessa interface permite corromper memória do processo GPU a partir de dados controlados pelo renderer.

O Chromium isola o processo renderer em uma sandbox restrita: mesmo que um atacante consiga executar código arbitrário dentro do renderer (via outra falha, como um bug de motor JavaScript), ele ainda está confinado. O processo GPU, porém, tem privilégios mais amplos e é uma superfície clássica de escape de sandbox porque processa dados vindos do renderer sem o mesmo nível de desconfiança aplicado a conteúdo web bruto.

O advisory do Google e a entrada da CISA não detalham a estrutura de dados afetada nem a rota de código exata — o bug tracker (crbug.com/1392715) permanece com acesso restrito, prática padrão do Chromium para reduzir a janela de exploração enquanto usuários atualizam. O que se sabe com certeza é o efeito: overflow em heap, no subsistema GPU, disparável por uma página HTML criada para esse fim, partindo de um renderer já sob controle do atacante.

O vetor é uma página HTML/JS maliciosa. Para chegar ao estágio em que esta CVE é explorada, o atacante precisa antes comprometer o processo renderer — normalmente via uma vulnerabilidade separada de execução de código na engine JS ou de renderização (V8, layout, etc.). CVE-2022-4135 é então usada para escapar da sandbox a partir desse ponto, elevando o impacto de 'código controlado dentro do renderer' para comprometimento mais amplo do sistema.

Isso explica o UI:R (interação do usuário) e o AC:L do vetor CVSS: a vítima só precisa visitar a página, mas o atacante precisa ter armado uma cadeia de exploits completa, não apenas este bug isolado. O Google confirmou que um exploit para esta CVE existia in the wild no momento da correção, e a atribuição do achado ao TAG do Google — equipe focada em atores estatais e fornecedores de spyware comercial — sugere que a exploração observada foi de natureza direcionada, não massiva.

Não há detalhes públicos de payload, técnica de corrupção de memória ou grupo responsável. A CISA classificou 'Known To Be Used in Ransomware Campaigns' como 'Unknown', ou seja, não há confirmação de uso em ransomware — o padrão de uso documentado é consistente com espionagem/vigilância direcionada, não com campanhas oportunistas de massa.

A correção é atualizar o Chrome para a versão 107.0.5304.121 (Mac e Linux) ou 107.0.5304.121/.122 (Windows) ou superior. Navegadores baseados em Chromium (Edge, Opera, Brave, e o próprio Chromium empacotado por distribuições Linux) precisam de builds equivalentes ou posteriores — o GLSA da Gentoo, por exemplo, só resolveu o pacote junto com um lote maior de CVEs na versão 109.0.5414.74-r1, meses depois, ilustrando o atraso comum de distros no repasse de patches de navegador.

Não existe workaround de configuração documentado pelo fornecedor nem pela Gentoo ('There is no known workaround at this time'). Desativar aceleração de GPU no navegador reduziria a superfície de ataque do processo GPU como um todo, mas não é uma mitigação oficial, tem custo de desempenho e não foi validada pelo fornecedor como suficiente — trate como paliativo de última instância, não como correção.

O ponto prático: como a exploração depende de uma cadeia (comprometimento do renderer + este escape de sandbox), corrigir qualquer uma das vulnerabilidades da cadeia quebra o ataque específico observado — mas como a falha de renderer inicial não é conhecida publicamente, a única mitigação garantida é atualizar para a versão corrigida do Chrome/Chromium.

Não há assinatura de rede ou padrão de log confiável e público para detectar tentativas de exploração desta falha especificamente — o exploit atua em memória dentro do processo GPU do navegador, sem artefato de rede distintivo, e os detalhes técnicos do bug original permanecem restritos no rastreador do Chromium. Monitoramento de crashes anômalos ou reinicializações do processo GPU/renderer em endpoints (via crash reporting do Chrome/Chromium) pode indicar tentativas falhas, mas não é um indicador específico desta CVE. Na ausência de IOC público, a defesa prática é garantir atualização de versão e monitorar telemetria de EDR por comportamento pós-exploração (escalonamento de processo, execução fora da sandbox do navegador).