Un investigador de seguridad ha obtenido una generosa suma por hallar una vulnerabilidad crítica en Chrome que puede explotarse para escapar de la zona protegida del famoso navegador web.
El fallo descubierto afectaba a la forma en que Chrome maneja la comunicación entre procesos (Mojo IPC). Debido a un error de validación, un proceso que debería estar aislado (el renderer) podía engañar al sistema para obtener privilegios de un proceso con más permisos (el browser).
Con esos privilegios, era posible ejecutar código fuera del sandbox y, por tanto, interactuar con el sistema operativo sin restricciones. En la prueba de concepto, el investigador consiguió abrir la calculadora, pero en un ataque real se podría instalar malware o acceder a información sensible. El fallo tendría una tasa de éxito del 70 al 80%.
Generalmente, este tipo de agujeros solo se pueden explotar si el usuario objetivo visita un sitio web malicioso.
La falla, identificada como CVE-2025-4609, fue reportada a Google el 22 de abril. La compañía de Mountain View logró solventarla a mediados de mayo actualizando Chrome 136 y ya ha compartido los detalles.
Desde la empresa de la gran G han calificado el problema que afecta al sistema de comunicación entre procesos Mojo de Chrome como una vulnerabilidad de «alta gravedad».
Un hito en cuanto a recompensas
El descubridor del hallazgo fue un investigador apodado ‘Micky’, que ya ha pasado a la historia por conseguir la recompensa individual más cuantiosa de las otorgadas por Google: 250.000 dólares. Para embolsarse esta cifra era necesario incluir un informe de alta calidad con una demostración de ejecución remota de código.
Hasta la fecha la recompensa individual más alta que se había proporcionado por encontrar una brecha de seguridad en su Chrome Vulnerability Reward (VRP) era de 110.000 euros. En total la firma tecnológica pagó el año pasado 12 millones de dólares a los especialistas que encontraron este tipo de agujeros de seguridad.
Google habla de CVE-2025-4609 como un “error lógico muy complejo» y justifica la generosa compensación por tratarse de «un bug extremadamente complejo, presentado con un informe de alta calidad y acompañado de una prueba funcional (PoC) que demostraba completamente la evasión del sandbox».
«Este es un trabajo increíble y el tipo de investigador que queremos premiar con este tipo de recompensas e incentivar la inversión futura en este tipo de investigación», añade.
