Redazione RHC : 30 octubre 2025 12:18
El investigador José Pino ha presentado una prueba de concepto de una vulnerabilidad en el motor de renderizado Blink utilizado en los navegadores basados en Chromium , demostrando cómo una sola página web puede bloquear muchos navegadores populares y dejar un dispositivo inutilizable en segundos.
Pino publicó el código de Brash , que demostró una degradación masiva de la interfaz de usuario y un bloqueo total de las pestañas en la mayoría de las compilaciones de Chromium probadas.
La vulnerabilidad está relacionada con una característica arquitectónica del procesamiento de document.title: Blink no tiene límite de velocidad para las actualizaciones del título del documento, lo que permite que el script realice millones de cambios en el DOM y sobrecargue el hilo principal en cuestión de milisegundos.
El método de Pino consiste en cargar en memoria un conjunto de cientos de cadenas hexadecimales únicas de 512 caracteres, seguido de breves ráfagas de actualizaciones de títulos en modo de alta frecuencia (ejemplo de configuración: «ráfaga: 8000, intervalo: 1 ms»), lo que da como resultado aproximadamente decenas de millones de intentos de edición por segundo.
Como resultado, las pestañas dejan de responder tras 5-10 segundos, y el navegador se bloquea o requiere un cierre forzado entre 15 y 60 segundos después. En algunas pruebas en Windows, una sola pestaña consumió hasta 18 GB de RAM y provocó el bloqueo del sistema.
Pino probó el prototipo en 11 navegadores de Android, macOS, Windows y Linux. Se encontraron nueve vulnerables, entre ellos Chrome, Edge, Vivaldi, Arc, Dia, Opera, Perplexity Comet, ChatGPT Atlas y Brave .
Dos navegadores con motores distintos, Firefox (Gecko) y Safari (WebKit), no mostraron reproducibilidad, al igual que todas las versiones para iOS, que requieren WebKit. El investigador notificó al equipo de Chromium el 28 de agosto y reiteró el mensaje el 30 de agosto, pero no obtuvo respuesta inmediata. Posteriormente, publicó la prueba de concepto para llamar la atención sobre el problema, a pesar del silencio público.
Al momento de la publicación, la vulnerabilidad no tiene un identificador público; el informe y la prueba de concepto están publicados por el autor en GitHub, y representantes de varios proveedores aún no han proporcionado comentarios detallados.
Si bien la explotación no revela el contenido de las pestañas ni conduce a la ejecución de código arbitrario, puede causar la pérdida de datos no guardados y fallos generalizados, lo que potencialmente convierte cualquier sitio web visitado en una fuente de errores.
RedazioneLa empresa israelí NSO Group apeló un fallo de un tribunal federal de California que le prohíbe utilizar la infraestructura de WhatsApp para distribuir su software de vigilancia Pegasus. El caso, q...
Se ha identificado una vulnerabilidad de omisión de autenticación en Azure Bastion (descubierta por RHC gracias a la monitorización constante de CVE críticos en nuestro portal), el servicio gestio...
El panorama del ransomware está cambiando. Los actores más expuestos —LockBit, Hunters International y Trigona— han pagado el precio de la sobreexposición, incluyendo operaciones internacionale...
Hace exactamente 40 años, el 20 de noviembre de 1985, Microsoft lanzó Windows 1.0 , la primera versión de Windows, que intentó transformar el entonces ordenador personal, una máquina con una lín...
18 de noviembre de 2025 – Tras horas de interrupciones generalizadas , el incidente que afectó a la red global de Cloudflare parece estar cerca de resolverse. La compañía anunció que impleme...
