Top 5 de vulnerabilidades en los navegadores más usados en dispositivos móviles

Una parte fundamental para poder acceder, ver o generar contenido y realizar diversas actividades en internet dentro de los dispositivos móviles es a través de los navegadores, los cuales son aplicaciones que están optimizadas para mostrar contenido web en pantallas más pequeñas a diferencia de un equipo de escritorio.

Los usuarios buscan un navegador que les brinde una experiencia fluida al momento de consumir e interactuar con cualquier tipo de contenido, cada uno de estos tiene características particulares en el cómo muestran y guardan la información, sin embargo, también son una puerta para que el móvil pueda infectarse por un malware y llevarse la información por parte de los ciberdelincuentes sino se tienen instaladas las actualizaciones correspondientes o se descargan archivos infectados que logren aprovecharse de alguna vulnerabilidad.

A continuación, veremos el top 5 de vulnerabilidades más explotadas durante el segundo semestre de 2024 en los navegadores móviles más utilizados

Cuota del mercado de los navegadores móviles

Según un relevamiento de GS.statcounter, Chrome fue el navegador dominante en teléfonos inteligentes con una participación de mercado del 65,75%. Safari ocupó la segunda posición con un 21,47%, principalmente debido a su integración con iPhone. Samsung Internet obtuvo el tercer puesto con una cuota del 3,54% mientras que Opera tuvo un uso por parte del mercado del 1,63%.

Tabla 1. Navegadores móviles más usados en el mundo hasta diciembre 2024. Fuente: GS.STATCOUNTER.

* Samsung Internet cuenta con vulnerabilidades hasta el 2022. Hoy en día no se tienen registros por parte de la marca donde se haya encontrado nuevas en el navegador. Mientras que para Opera Web sucede lo mismo, su registro de vulnerabilidades es de hace más de 6 años; esto no quiere decir que sean navegadores totalmente seguros pues todo depende de cómo lo utilice el usuario final.

Google Chrome

CVE-2024-9956

Esta vulnerabilidad fue publicada el 10 de octubre del 2024, la cual es una implementación inadecuada en WebAuthentication en Google Chrome en Android. Las versiones anteriores a la 130.0.6723.58 son las afectadas y permite a un atacante local realizar una escalación de privilegios a través de una página HTML elaborada para explotar esta vulnerabilidad, con lo cual podría instalar malware del tipo infostealer o troyano.

Dispositivos afectados: Android que cuenten con la versión no actualizada.

CVE-2024-8907

Esta vulnerabilidad fue publicada el 19 de septiembre del 2024, consiste en una validación insuficiente de datos en Omnibox (barra de direcciones del navegador, que también se conoce como cuadro multifunción) en Google Chrome en Android. Las versiones anteriores a la 129.0.6668.58 permiten a un atacante vía remota convencer a un usuario de participar en gestos específicos de IU (interfaz de usuario) para inyectar scripts arbitrarios o HTML (XSS) a través de gestos de interfaz.

Dispositivos afectados: Android que cuenten con la versión no actualizada.

 CVE-2024-8639

Esta vulnerabilidad fue publicada el 11 de septiembre del 2024, consiste en aprovecharse del autocompletado en Google Chrome en Android. Las versiones anteriores a la 128.0.6613.137 le permiten a un atacante vía remota explotar potencialmente esta falla a partir de la suplantación de una página HTML.

Dispositivos afectados: Android que cuenten con la versión no actualizada.

 CVE-2024-8637

Esta vulnerabilidad fue publicada el 11 de septiembre del 2024, consiste en aprovecharse del servicio del navegador que permite enviar contenido de Chrome a un dispositivo con Chromecast habilitado (Chrome Media Router). Las versiones anteriores a la 128.0.6613.137 le permiten a un atacante vía remota explotar potencialmente esta falla a partir de la suplantación de una página HTML.

Dispositivos afectados: Android que cuenten con la versión no actualizada.

CVE-2024-8034

Esta vulnerabilidad fue publicada el 8 de agosto del 2024, consiste en una implementación inadecuada de las pestañas personalizadas en Google Chrome en Android. Las versiones anteriores a la 128.0.6613.84 le permiten a un atacante vía remota explotar potencialmente esta falla a partir de la generación de miles de pestañas de una página HTML.

Dispositivos afectados: Android que cuenten con la versión no actualizada.

Safari

CVE-2024-54534

Esta vulnerabilidad fue publicada el 11 de diciembre del 2024, sino se tiene actualizado el navegador, una aplicación maliciosa puede ser capaz de acceder a información sensible y privada de la víctima a través de las fallas de memoria con lo cual puede escalar privilegios en el dispositivo afectado, además de que el atacante puede ser capaz de alterar el tráfico de la red y generar una denegación de servicio.

Dispositivos afectados: watchOS 11.2, visionOS 2.2, tvOS 18.2, macOS Sequoia 15.2, Safari 18.2, iOS 18.2 y iPadOS 18.2 que cuenten con las versiones mostradas.

CVE-2024-54508

Esta vulnerabilidad fue publicada el 11 de diciembre del 2024, sino se tiene actualizado el navegador, una aplicación maliciosa puede ser capaz de acceder a información sensible y privada de la víctima a través de las fallas de memoria con lo cual puede escalar privilegios en el dispositivo afectado, además de que el atacante puede ser capaz de alterar el tráfico de la red y generar una denegación de servicio. Debido a una validación insuficiente de la lista de lectura de Safari se puede revelar la dirección IP originaria del sitio web. Si se tiene acceso físico al dispositivo iOS el atacante puede ser capaz de ver el contenido de notificación desde la pantalla de bloqueo.

Dispositivos afectados: watchOS 11.2, visionOS 2.2, tvOS 18.2, macOS Sequoia 15.2, Safari 18.2, iOS 18.2 y iPadOS 18.2 que cuenten con las versiones mostradas.

CVE-2024-54505

Esta vulnerabilidad fue publicada el 11 de diciembre del 2024, sino se tiene actualizado el navegador, una aplicación maliciosa puede ser capaz de acceder a información sensible y privada de la víctima a través de las fallas de memoria con lo cual puede escalar privilegios en el dispositivo afectado, además de que el atacante puede ser capaz de alterar el tráfico de la red y generar una denegación de servicio, incluyendo acceder a partes de la memoria para generar procesos maliciosos. Debido a una validación insuficiente de la lista de lectura de Safari se puede revelar la dirección IP originaria del sitio web. Si se tiene acceso físico al dispositivo iOS el atacante puede ser capaz de ver el contenido de notificación desde la pantalla de bloqueo.

Dispositivos afectados: iPadOS 17.7, watchOS 11.2, visionOS 2.2, tvOS 18.2, macOS Sequoia 15.2, Safari 18.2, iOS 18.2 y iPadOS 18.2 que cuenten con las versiones mostradas.

CVE-2024-44309

Esta vulnerabilidad fue publicada el 19 de noviembre del 2024, sino se tiene actualizado el navegador, permite al atacante procesar contenido web para causar una ejecución arbitraria de código. Apple fue consciente de un informe de que este tema pudo haber sido explotado activamente en los sistemas Mac basados en Intel.

Dispositivos afectados: Safari 18.1.1, iOS 17.7.2 y iPadOS 17.7.2, macOS Sequoia 15.1.1, iOS 18.1.1 y iPadOS 18.1.1, visionOS 2.1.1 que cuenten con las versiones mostradas.

CVE-2024-44259

Esta vulnerabilidad fue publicada el 29 de octubre del 2024, sino se tiene actualizado el navegador, Un atacante puede ser capaz de abusar de una relación de confianza para descargar contenido malicioso.  En la navegación privada se puede filtrar el historial de navegación, además las cookies pueden redirigirse a hacia donde el atacante decida.

Dispositivos afectados: iOS 17.7.1 y iPadOS 17.7.1, visionOS 2.1, iOS 18.1 e iPadOS 18.1, macOS Sequoia 15.1, Safari 18.1 que cuenten con las versiones mostradas.

Firefox

CVE-2024-9680

Esta vulnerabilidad fue actualizada el 18 de noviembre del 2024 y reportada por Damien Schaeffer de ESET (Malware Reseacher). Un atacante puede ser capaz de lograr la ejecución de código en el proceso de contenido explotando la animación de líneas de tiempo.  Versiones anteriores a 131.0.2, Firefox ESR 128.3.1, Firefox ESR 115.16.1, Thunderbird 131.0.1, Thunderbird 128.3.1 y Thunderbird 115.16.0 son las afectadas.

Dispositivos afectados: Android, PC.

CVE-2024-9936

Esta vulnerabilidad fue publicada el 14 de octubre del 2024, cuando se manipula el nodo de la memoria caché, el atacante puede ser capaz de generar un comportamiento anómalo por el potencial de poder explotar otras características del navegador afectado. Versiones anteriores a 131.0.3 son vulnerables.

Dispositivos afectados: Android, PC.

CVE-2024-9397

Esta vulnerabilidad fue publicada el 1 de octubre del 2024, una demora en el directorio para la carga de archivos de la UI (Interfaz de Usuario) puede hacer posible que un atacante engañe al usuario para obtener permisos vía clickjacking (ataque a la interfaz de un sitio web que engaña a los usuarios para que hagan clic en enlaces maliciosos sin saberlo). Versiones anteriores a Firefox 131, Firefox ESR 128.3, Thunderbird 128.3 y Thunderbird 131 son vulnerables.

Dispositivos afectados: Android, PC.

CVE-2024-9403

Esta vulnerabilidad fue publicada el 1 de octubre del 2024, los errores de seguridad de la memoria presentes en Firefox 130. Algunos de estos errores mostraron evidencia de corrupción en la memoria e indican que con suficiente esfuerzo algunos de estos podrían haber sido explotados para ejecutar código arbitrario. Versiones anteriores a Firefox 131 y Thunderbird 131 son vulnerables.

Dispositivos afectados: Android, PC.

CVE-2024-9400

Esta vulnerabilidad fue publicada el 1 de octubre del 2024, una potencial vulnerabilidad de la corrupción de la memoria podría desencadenarse si un atacante tuviera la capacidad de desencadenar una OOM (proceso llamado Out Of Memory Killer por sus siglas en inglés y es cuando el sistema tiene poca memoria. Este proceso revisa los procesos y termina los que están utilizando más memoria de la que deberían) en un momento específico durante la compilación de JIT. Versiones anteriores a Firefox 131, Firefox ESR 128.3, Thunderbird 128.3 y Thunderbird 131 son vulnerables.

Dispositivos afectados: Android, PC.

Conclusiones

Como hemos mencionado en anteriores posts, las vulnerabilidades persistentes evidencian la necesidad de mayor concientización entre los usuarios. No adoptar buenas prácticas, como mantener actualizadas las aplicaciones móviles y de escritorio, puede facilitar el robo de información y su venta en mercados negros. Incluso las vulnerabilidades de bajo impacto pueden comprometer la seguridad de nuestros dispositivos, por lo que es fundamental estar informados y tomar medidas preventivas.