Safari es el navegador más vulnerable según Google Project Zero

Safari es el navegador más vulnerable según Google Project Zero

El equipo de ciberseguridad de Google, conocido como Project Zero, ha publicado recientemente una de sus herramientas como open source. De nombre Domato, esta herramienta de testeo de vulnerabilidades ha ayudado a identificar 31 fallos de seguridad de entre los navegadores más populares, de los que más de la mitad pertenecen a Safari de Apple.

Uno de los miembros del equipo de seguridad de Google, Ivan Fratric, ha destacado ya en lo que va de año por aparecer en muchos de los bugs descubiertos en el navegador de Apple con tecnología Webkit.

Y la herramienta antes mencionada, Domato, ha sido utilizada por él para realizar fuzzing sobre los navegadores más importantes en busca de fallos: Chrome, Edge, Firefox, Internet Explorer y Safari.

17 vulnerabilidades por fuzzing descubiertas en Safari

17 de las vulnerabilidades corresponden a Safari, mientras el resto se reparten más o menos equitativamente entre los demás.

El fuzzing es una técnica que implica lanzar grandes cantidades de código aleatorio en un intento de conseguir cuelgues o comportamientos inesperados en una aplicación unas 100 millones de veces. Dada la potencia requerida, se utilizaron los servidores de Google para la tarea

Domato está diseñada para descubrir fallos en el estandar DOM o Document Object Model presente en los motores de los navegadores. Los motores DOM resultan una fuente de vulnerabilidades para los mismos y en ocasiones son usados por atacantes, como ocurrió con el exploit utilizado contra Firefox en Noviembre de 2016 para atacar a usuarios de Tor. Dicho exploit fue accidentalmente publicado por Exodus y permitió identificar visitantes de una web de pornografía infantil.

Vulnerabilidades en Safari descubiertas mediante fuzzing

Además del buen servicio que ya ha hecho la herramienta, ahora la han convertido en open source para que ayuden a mejorarla. No obstante, un atacante podría lanzar ataques de fuzzing usando Google Compute Engine contra objetivos por unos 1000 €, algo que muchos pueden permitirse. Hoy buenas noticias para todos, excepto para Safari.

Ivan Fratric ha estado colaborando activamente, además, con Apple y Microsoft para hacerles llegar su herramienta y permitir que realicen auditorías selectivas del software, aunque en el caso de Microsoft parecen haber hecho bien los deberes:

Microsoft considera estos fallos como potencialmente mitigados por la tecnología MemGC y estoy de acuerdo con su visión. Teniendo en cuenta que Internet Explorar solía estar plagado con vulnerabilidades de tipo use-after-free, MemGC es un ejemplo de mitigación útil que tiene un impacto positivo en situaciones reales. 

Fuente: Bitdefender

Autor: Alejandro Sánchez

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.