Cómo 'tumbar' el navegador Chrome con solo 16 caracteres

El sitio especializado en seguridad informática The Hacker News reportó que un experto en pentesting descubrió una vulnerabilidad que afecta al navegador Google Chrome, y que con solamente una cadena de 16 caracteres permite 'congelar' el navegador y todas las pestañas abiertas.



El método es muy sencillo y puede ser reproducido mediante tres posibles escenarios:

Ingresar una URL especial de 16 caracteres y presionar <enter>.
Hacer clic en una URL especial de 16 caracteres.
Simplemente colocar el cursor en una URL especial de 16 caracteres.

Eso es todo.  Ni siquiera es necesario hacer clic en el enlace. Chrome colapsará simplemente con colocar el cursor en el enlace. Según el 'humor' del navegador, puede colapsar todo el navegador o simplemente la ventana o pestaña activa.



El descubridor del 'truco' es el investigaddor Andris Atteka, quien explicó en su blog que simplemente añadiendo un caracter con el atributo NULL puede causar un fallo grave en Chrome de inmediato. El experto utilizó primeramente una URL de 26 caracteres:



ADVERTENCIA: NO HAGA CLIC, NO COLOQUE EL CURSOR NI INTENTE ABRIR ESTE ENLACE EN SU NAVEGADOR CHROME:

http://biome3d.com/%%30%30

Sin embargo, un refinamiento de la técnica logró reproducir el fallo con solamente 16 caracteres:

MISMA ADVERTENCIA.

http://a/%%30%30

Según explicaron los expertos, la vulnerabilidad es una falla inherente al sistema operativo y no representa un riesgo de seguridad. Aún así, esta falla puede ser muy molesta y abrir la puerta para otro tipo de fallas y problemas de seguridad.

Según Atteka, el problema reside en una verificación inválida de la URL visitada que causa un conflicto con el historial del navegador. El experto no cree que represente un fallo de seguridad, y es el último en una serie de fallos bastante extraños que han tenido lugar en el navegador de Google. Una posible consecuencia es que, si algún usuario coloca el enlace en Twitter o en un correo, por ejemplo, puede colapsar decenas de navegadores sin problema.

Atteka también dijo que reportó el fallo a Google, pero la empresa no le recompensó bajo el argumento que 'no se trata de un problema de seguridad'.

El fallo, al momento de escribir esta nota, afecta a todas las versiones de Chrome (hasta la 45) en Windows y Mac OS X. Las versiones de Chrome para móviles y la versión para Linux no parecen ser afectadas. Google no ha reconocido ni arreglado el fallo.

Fuente: The Hacker News