CVE-2023-4762

Falha de type confusion no motor JavaScript V8 do Google Chrome, explorável por uma página HTML maliciosa para executar código arbitrário no contexto do processo de renderização. A CISA incluiu a CVE no catálogo KEV com confirmação de exploração ativa antes da correção, o que eleva a urgência muito além do que o CVSS de 8.8 já sugere — não é uma falha teórica, foi usada em campanhas reais contra usuários do Chrome.

A vulnerabilidade é uma type confusion (CWE-843) dentro do V8, o motor JavaScript/WASM do Chromium. Esse tipo de falha ocorre quando o motor trata um objeto como se fosse de um tipo diferente do que realmente é — normalmente por erro de otimização especulativa do JIT (TurboFan) ou por transições de tipo de objeto que o compilador assume incorretamente como estáveis. O resultado é acesso a memória fora dos limites esperados para aquele tipo, permitindo leitura/escrita corrompida de campos de objeto.

O Google não publicou o diff do patch nem detalhes do bug (crbug.com/1473247 permanece restrito), prática padrão para dar tempo de atualização à base de usuários antes de expor a causa raiz. Isso significa que não há confirmação pública de qual função ou builtin do V8 continha o defeito específico — apenas a classificação CWE de type confusion e a severidade 'High' atribuída pelo próprio time de segurança do Chromium.

O atacante controla o conteúdo da página HTML/JavaScript servida à vítima, incluindo estruturas de objeto e sequências de operações desenhadas para forçar o V8 a uma transição de tipo inconsistente. A partir da confusão de tipo, exploits de V8 tipicamente convertem a corrupção de memória em controle de ponteiros e, em cadeia com um bug de sandbox escape (nem sempre presente no mesmo CVE), em execução de código no processo do navegador ou do sistema.

O bug foi reportado por um pesquisador anônimo em 16/08/2023 e corrigido junto com outras três falhas High (CVE-2023-4761, 4763, 4764) no mesmo ciclo de release, sem relação de dependência declarada entre elas segundo o advisory.

O vetor é uma página web maliciosa — o atacante precisa apenas que a vítima a abra no Chrome vulnerável. Não há necessidade de autenticação nem de configuração não padrão; o requisito de interação do usuário (UI:R no vetor CVSS) se refere a navegar até a página, o que pode acontecer via link em phishing, anúncio malicioso ou site comprometido. Isso torna o requisito de pré-condição baixo e a superfície de ataque ampla — qualquer instalação padrão do Chrome antes da versão corrigida está exposta simplesmente por renderizar JavaScript malicioso.

Como type confusion em V8 é uma primitiva de corrupção de memória controlada pelo atacante, ela raramente é usada isolada em ataques reais visando execução de código completa: normalmente compõe uma cadeia com um segundo bug de sandbox escape para sair do processo renderer isolado e obter execução no sistema. A descrição oficial fala em 'execute arbitrary code', o que é a capacidade teórica do bug dentro do renderer; se isso se traduz em comprometimento total do host depende de bugs adicionais de escape que não fazem parte deste CVE.

A entrada no catálogo KEV da CISA confirma exploração observada em ambiente real antes da correção — não é uma classificação especulativa baseada apenas em PoC pública. Isso coloca a CVE-2023-4762 na categoria de bugs usados ativamente por atacantes (histórico de campanhas de spyware comercial e watering-hole tem se apoiado em cadeias de V8 type confusion), mas o Google não detalhou publicamente os atores ou campanhas associados a este CVE específico.

Atualizar o Google Chrome para a versão 116.0.5845.179 (Windows também recebeu build 116.0.5845.180) elimina a falha. Distribuições Linux que empacotam Chromium seguiram com suas próprias builds equivalentes — Fedora, por exemplo, publicou chromium 116.0.5845.179-1 corrigindo esta e outras três CVEs do mesmo ciclo; verifique o changelog da sua distro para confirmar que a versão instalada é igual ou posterior a essa build.

Não há paliativo de configuração real contra type confusion em V8 — desabilitar JavaScript inteiramente neutraliza o vetor mas quebra a usabilidade da maioria dos sites, então não é uma mitigação prática para navegação geral. Extensões de sandboxing adicional ou isolamento de site (Site Isolation, já habilitado por padrão em versões modernas do Chrome) reduzem o impacto de uma eventual cadeia de exploração mas não impedem a exploração do bug em si dentro do processo renderer.

O mito a evitar: acreditar que apenas 'não clicar em links suspeitos' mitiga o risco. Como o vetor é qualquer página HTML, incluindo anúncios maliciosos entregues via ad networks legítimas ou sites comprometidos, a superfície de exposição não depende de comportamento de risco do usuário — depende exclusivamente da versão do navegador instalada.

Não há assinatura de rede ou log confiável para detectar tentativas de exploração deste bug especificamente — a exploração ocorre inteiramente client-side, dentro do processo do V8, via JavaScript entregue por HTTPS normal, indistinguível de tráfego legítimo sem inspeção de conteúdo da página. Como o Google não divulgou detalhes técnicos do bug nem indicadores de comprometimento associados às explorações observadas antes do patch, equipes de SOC dependem primariamente de telemetria de EDR no endpoint (crashes anômalos do processo renderer do Chrome, comportamento pós-exploração como spawns de processo inesperados) e de garantir visibilidade de versão de navegador na frota via inventário de software.