CVE-2018-17463: bug in V8 di Chrome permette RCE in sandbox

La vulnerabilità CVE-2018-17463 riguarda un'annotazione errata degli effetti collaterali nel motore JavaScript V8 integrato in Google Chrome. Secondo la descrizione ufficiale NVD, nelle versioni precedenti a 70.0.3538.64 un attaccante remoto può sfruttare una pagina HTML creata appositamente per eseguire codice arbitrario all'interno della sandbox del browser, un contesto che normalmente limita l'impatto di codice non attendibile.

Il CVSS riportato è 8,8, corrispondente alla fascia di gravità alta dichiarata nei dati. La vulnerabilità è stata pubblicata su NVD il 14 novembre 2018. Sono stati osservati repository pubblici che dichiarano di contenere exploit per questa CVE: si tratta di un segnale di interesse della comunità tecnica, non di una conferma di exploitation attiva in contesti reali, che i dati disponibili non riportano. Eventuali discussioni sui social media non vengono qui considerate fonte tecnica.

Per i difensori, la priorità è verificare che tutti i browser Chrome in uso in azienda, inclusi quelli su workstation, VDI e dispositivi gestiti, siano aggiornati alla versione 70.0.3538.64 o successiva. Gli amministratori IT dovrebbero affidarsi ai meccanismi di aggiornamento automatico del browser o ai canali di distribuzione centralizzata (ad esempio tramite policy MDM o Group Policy) per garantire una copertura uniforme, e includere la verifica della versione di Chrome nei controlli periodici di postura di sicurezza degli endpoint.