Ce 12 avril 2021, Rajvardhan Agarwal, un chercheur en sécurité informatique, a révélé l'existence d'une faille de sécurité Z-zero-day au sein de Chrome et des navigateurs qui s'appuient sur le moteur de rendu Chromium, dont Microsoft Edge. Pour rappel, une faille de type zéro-day est une brèche d'un logiciel ou d'un système d'exploitation qui n'a pas encore corrigée. Par contre, elle a été dévoilée publiquement, ce qui ouvre la possibilité que des pirates cherchent à l'exploiter à des fins criminelles.
D'après les découvertes de Rajvardhan Agarwal, cette faille de sécurité permet d'exécuter du code à distance sur un ordinateur via le moteur JavaScript V8dans les navigateurs basés sur Chromium. Dans le compte rendu publié sur Github, le chercheur en sécurité informatique explique avoir pu lancer la calculatrice de l'ordinateur en passant par le navigateur web.
UNE FAILLE DE SÉCURITÉ BLOQUÉE PAR LA SANDBOX DE CHROME ET EDGE
D'après Rajvardhan Agarwal, cette brèche est ensuite bloquée par la sandbox du navigateur web. La sandbox, ou bac à sable, est une limite de sécurité de Google qui permet d'isoler les différents processus et composants du navigateur. Pour exploiter cette faille, il est donc nécessaire de la combiner avec une brèche permettant de s'affranchir de la sandbox. Sinon, l'individu malveillant se retrouvera bloqué et incapable de nuire. Notez qu'une option permet de désactiver la sandbox sur Chrome et Edge, mettant en danger certains internautes.
L'expert assure que cette faille a été patchée par le moteur JavaScript V8. Par contre, ce correctif n'est pas inclus dans la dernière version de Chromium, dont Chrome 89 et Microsoft Edge 89. On peut s'attendre à ce qu'un patch soit inclus dans la future version des navigateurs, Chrome 90 et Edge 90.
Par Florian Bayard/ Source:Phonadroid
🔔Si vous aimez notre contenu, vous pouvez nous soutenir sur Tipee: https://fr.tipeee.com/elmesmar 🤗🤗
