Google ha lanzado la versión 136 de su navegador Chrome para Windows, macOS y Linux, abordando varias vulnerabilidades de seguridad, incluyendo una crítica identificada como CVE-2025-4096. Esta actualización también corrige otras vulnerabilidades de severidad media y baja en las herramientas de desarrollo (DevTools).
- CVE-2025-4096 (CVSS 8.8): Esta vulnerabilidad de alta severidad corresponde a un desbordamiento de búfer en el motor de renderizado HTML de Chrome. Fue reportada de forma anónima el 11 de abril de 2025 y podría permitir la ejecución arbitraria de código si un usuario visita una página web maliciosa. Google otorgó una recompensa de $5,000 por su descubrimiento.
- CVE-2025-4050 (CVSS NA): Vulnerabilidad de severidad media relacionada con un acceso fuera de límites en DevTools. Reportada de forma anónima el 9 de abril de 2025, podría permitir a un atacante acceder a áreas de memoria no autorizadas.
- CVE-2025-4051 (CVSS NA): Otra vulnerabilidad de severidad media en DevTools, relacionada con una validación insuficiente de datos. Descubierta por Daniel Fröjdendahl el 16 de marzo de 2025, podría permitir la manipulación de datos no verificados.
- CVE-2025-4052 (CVSS NA): Vulnerabilidad de baja severidad en DevTools debido a una implementación inapropiada. Reportada por vanillawebdev el 10 de marzo de 2025, podría afectar la estabilidad de la herramienta.
Productos y versiones afectadas:
- Google Chrome versiones anteriores a 136.0.7103.48 (Windows y macOS), 136.0.7103.59 (Linux).
- DevTools en versiones anteriores de Chrome.
Solución
- Actualizar a la versión 136.0.7103.48/49 (Windows y macOS) o 136.0.7103.59 (Linux).
Recomendaciones:
- Actualizar Google Chrome a la versión recomendada de acuerdo al sistema operativo.
- Verificar que las actualizaciones automáticas estén habilitadas en el navegador.
- Evitar visitar sitios web no confiables o hacer clic en enlaces sospechosos.
- Implementar soluciones de seguridad que detecten y prevengan la explotación de vulnerabilidades conocidas.
Referencias:
- https://securityonline.info/chrome-update-fixes-high-severity-security-flaw-cve-2025-4096/
- https://chromereleases.googleblog.com/2025/04/stable-channel-update-for-desktop_29.html
- https://www.forbes.com/sites/daveywinder/2025/04/30/google-chrome-update-decision—act-now-or-wait-it-out/
- https://www.tenable.com/plugins/nessus/234957