CVE-2022-3443

Se trata de una falla de validación en la File System API de Chrome: una página diseñada puede saltarse algunas de las restricciones que la API se supone debe imponer. Requiere que la víctima cargue efectivamente la página maliciosa, e incluso el propio triaje de Chromium calificó la severidad como Baja. Nada aquí concede ejecución de código ni robo de datos por sí solo; simplemente afloja un límite sobre el que otras cosas tendrían que construir.

Fallas como esta casi nunca son objeto de explotación oportunista. No hay un servidor sin autenticar al que rociar, la recompensa es marginal, y los errores de severidad Baja cercanos al sandbox del navegador no son lo que los actores de commodity se molestan en armar. La actualización automática silenciosa de Chrome también significa que la ventana de vulnerabilidad se cierra por sí sola para la gran mayoría de los usuarios a los pocos días del lanzamiento estable que incluye la corrección.

Clasificaríamos esto bastante por debajo de su 4.3 y dejaríamos que el canal de actualización del navegador haga el trabajo. Nuestra única acción real es confirmar que las flotas de Chrome gestionadas no estén ancladas a una versión antigua anterior a 106.0.5249.62 por alguna política empresarial; donde la actualización automática esté intacta, esto no requiere atención dedicada por nuestra parte.