Resumen ejecutivo
Se han identificado múltiples vulnerabilidades críticas y altas en Chromium que afectan a Prisma Access Browser de Palo Alto. Estas vulnerabilidades podrían permitir que atacantes remotos manipulen contenido HTML, obtengan información sensible del usuario, realicen suplantación de interfaz o filtren datos entre orígenes. Por otro lado, en la aplicación GlobalProtect de Palo Alto Networks para macOS , se ha descubierto una vulnerabilidad que permite a un usuario no administrador elevar sus privilegios hasta el nivel de root. Ante la gravedad de estos riesgos, se recomienda aplicar las actualizaciones disponibles lo antes posible.
Recursos afectados
- GlobalProtect App 6.3 (< 6.3.3 en macOS)
- GlobalProtect App 6.2 (< 6.2.8-h2 en macOS)
- GlobalProtect App 6.1 (Todas en macOS)
- GlobalProtect App 6.0 (Todas en macOS)
- Chromium Security (no se menciona una versión específica)
- Prisma Access Browser (< 136.24.1.93)
Análisis técnico
- CVE-2025-5063: Uso después de liberar en Compositing.
- CWE-416
- CVSS: 8.6 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-5280: Escritura fuera de límites en V8.
- CWE-787
- CVSS: 8.6 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-5068: El uso después de liberar en Blink en Google Chrome anterior a la versión 137.0.7151.68 permitía a un atacante remoto aprovechar la corrupción del montón mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)
- CWE-416
- CVSS: 8.8 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-5419: La lectura y escritura más allá de los límites permitidos en la versión 8 de Google Chrome anterior a la versión 137.0.7151.68 permitía a un atacante remoto aprovechar la corrupción del montón a través de una página HTML manipulada. (Severidad de seguridad de Chromium: Alta)
- CWE-125
- CVSS: 8.8 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2025-4232: Una vulnerabilidad de neutralización inadecuada de comodines en la función de recopilación de registros de la aplicación GlobalProtect™ de Palo Alto Networks en macOS permite que un usuario no administrativo eleve sus privilegios a raíz.
- CWE-155
- CVSS: 7.1 (alta)
- Vector CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N
- Explotación: No detectada
- CVE-2025-5065: Una implementación incorrecta de la API FileSystemAccess en Google Chrome anterior a la versión 137.0.7151.55 permitía a un atacante remoto suplantar la interfaz de usuario a través de una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)
- CWE-451
- CVSS: 6.5 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
- Explotación: No detectada
- CVE-2025-5066: Una implementación incorrecta de Mensajes en Google Chrome para Android previa a la versión 137.0.7151.55 permitía que un atacante remoto, después de convencer a un usuario para que realizara gestos específicos de la interfaz de usuario, llevara a cabo una suplantación de la misma mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)
- CWE-451
- CVSS: 6.5 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
- Explotación: No detectada
- CVE-2025-5281: Una implementación incorrecta de BFCache en Google Chrome anterior a la versión 137.0.7151.55 permitía a un atacante remoto obtener información del usuario a través de una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)
- CWE-200
- CVSS: 5.4 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
- Explotación: No detectada
- CVE-2025-5064: Una implementación incorrecta de la API de fetch en segundo plano en Google Chrome anterior a la versión 137.0.7151.55 permitió que un atacante remoto filtrara datos de origen cruzado mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)
- CWE-200
- CVSS: 5.4 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
- Explotación: No detectada
- CVE-2025-5283: El Use After Free de libvpx en Google Chrome anterior a la versión 137.0.7151.55 permitía a un atacante remoto explotar la corrupción del montón mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Media)
- CWE-416
- CVSS: 5.4 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
- Explotación: No detectada
- CVE-2025-5067: Una implementación incorrecta en la barra de pestañas de Google Chrome anterior a la versión 137.0.7151.55 permitía a un atacante remoto suplantar la interfaz de usuario mediante una página HTML manipulada. (Gravedad de seguridad de Chromium: Baja)
- CWE-290
- CVSS: 5.4 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
- Explotación: No detectada
- CVE-2025-4664: La implementación insuficiente de políticas en Loader en Google Chrome anterior a la versión 136.0.7103.113 permitió que un atacante remoto filtrara datos de origen cruzado mediante una página HTML manipulada. (Severidad de seguridad de Chromium: Alta)
- CWE: N/A
- CVSS: 4.3 (media)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
- Explotación: No detectada
Mitigación / Solución
El fabricante Palo Alto Networks da la recomendación principal de actualizar el producto GlobalProtect en macOS. Para la versión 6.3 el fabricante sugiere actualizar a la versión 6.3.3 o posterior. Para la versión 6.2 la recomendación es actualizar a la versión 6.2.8-h2 (disponible en junio 2025) o 6.3.3 o posterior. De manera similar, para las versiones 6.1 y 6.0 en macOS, se recomienda actualizar a 6.2.8-h2 o 6.3.3 o posterior. El fabricante destaca que no se requiere ninguna acción para la aplicación GlobalProtect en Windows, Linux, Android, iOS y Chrome OS. Además, Palo Alto Networks informa que ha incorporado soluciones de seguridad de Chromium en sus productos. Para el producto Prisma Access Browser, se recomienda la actualización a versiones específicas para solucionar vulnerabilidades identificadas con diferentes CVE, entre las que se encuentra la actualización a la versión 136.24.2.114 para el CVE-2025-4664 y a la versión 137.16.2.69 para otras vulnerabilidades enumeradas en el informe.