Google revela por erro falha de segurança grave do Chromium após ignorá-la por 2 anos

A segurança na Google é um tema que a empresa assume de forma constante. Infelizmente, a gigante das pesquisas cometeu um deslize de proporções épicas. Revelou, por erro, uma falha grave de segurança no Chromium, tentando depois desfazer o erro. Já conhecia este bug há 2 anos, mas insistia em ignorá-lo. Agora é de conhecimento público.

Google cometeu deslize de proporções épicas

O Chromium é um projeto de código aberto da Google que serve de base não só para o Chrome, mas também para outros browsers do mercado, como o Brave, Microsoft Edge, Opera e Vivaldi. Por isso, quando uma falha de segurança é descoberta no seu código-fonte, é corrigida rapidamente, uma vez que pode rapidamente tornar-se uma ameaça que afeta milhões de dispositivos em todo o mundo.

No entanto, acaba de se descobrir que a Google publicou, e depois corrigiu apressadamente, uma falha de segurança perigosa grave no Chromium. Esta vulnerabilidade foi descoberta em 2022 e, inacreditavelmente, a Google ainda não a corrigiu. Esta falha foi detetada em 2022 pela investigadora Lyra Rebane. Afirma que a Google "abriu" o relatório de vulnerabilidades por engano, sem avaliar o potencial impacto.

Falha de segurança do Chromium revelada

Rebane explica ainda que esta grave falha de segurança afeta a API Background Fetch do Chromium. Pode desencadear um Service Worker persistente após um utilizador visitar uma página maliciosa. Esclareceu ainda que, embora o Service Worker não seja perigoso, pode ser utilizado para seguir a atividade online de um utilizador através de registos de data e hora, registos de endereços IP e dados de telemetria.

Além disso, em cenários mais graves, o Service Worker poderia ser usado em contextos potencialmente perigosos. Rebane afirmou que, após ter sido informada em 2022, a Google classificou o bug como "P1" (segundo nível de prioridade mais elevado) e uma classificação de gravidade "S2". Ainda assim, não tomou qualquer medida durante 46 meses, antes de publicar inesperadamente os detalhes da vulnerabilidade.

Ainda não tinha sido resolvida e foi exposta

Os programadores do Chromium voltaram a fechar o relatório rapidamente, mas a página já tinha sido arquivada e pode ser visualizada online. Há também o código de prova de conceito criado por Rebane. Gerava um Service Worker que continuava a ser executado após o dispositivo ou o browser ter sido reiniciado. Rebane acreditou que a vulnerabilidade tinha sido tornada pública porque a Google tinha finalmente corrigido.

No entanto, ela percebeu posteriormente que a prova de conceito ainda funcionava e que não tinha sido implementada nenhuma correção real. Por fim, é importante saber que esta falha de segurança não afeta o Mozilla Firefox ou o browser Safari da Apple, uma vez que nenhum dos dois suporta a API Background Fetch do Chromium, uma vez que o Firefox utiliza o Gecko ou Quantum e o Safari usa o WebKit.