Google Chrome, Microsoft Edge et tous les navigateurs basés sur Chromium sont victimes d'une faille de sécurité. En exploitant cette brèche de type zero-day, un attaquant est capable d'exécuter du code à distance à l'insu des utilisateurs. En s'appuyant sur une autre faille, un individu malveillant pourrait théoriquement pirater votre ordinateur. 

Ce 12 avril 2021, Rajvardhan Agarwal, un chercheur en sécurité informatique, a révélé l'existence d'une faille de sécurité Z-zero-day au sein de Chrome et des navigateurs qui s'appuient sur le moteur de rendu Chromium, dont Microsoft Edge. Pour rappel, une faille de type zéro-day est une brèche d'un logiciel ou d'un système d'exploitation qui n'a pas encore corrigée. Par contre, elle a été dévoilée publiquement, ce qui ouvre la possibilité que des pirates cherchent à l'exploiter à des fins criminelles.

D'après les découvertes de Rajvardhan Agarwal, cette faille de sécurité permet d'exécuter du code à distance sur un ordinateur via le moteur JavaScript V8 dans les navigateurs basés sur Chromium. Dans le compte rendu publié sur Github, le chercheur en sécurité informatique explique avoir pu lancer la calculatrice de l'ordinateur en passant par le navigateur web.

Sur le même sujet : un dangereux malware se diffuse dans une trentaine d’extensions Google Chrome et Microsoft Edge, désinstallez-les rapidement !

Une faille de sécurité bloquée par la sandbox de Chrome et Edge

D'après Rajvardhan Agarwal, cette brèche est ensuite bloquée par la sandbox du navigateur web. La sandbox, ou bac à sable, est une limite de sécurité de Google qui permet d'isoler les différents processus et composants du navigateur. Pour exploiter cette faille, il est donc nécessaire de la combiner avec une brèche permettant de s'affranchir de la sandbox. Sinon, l'individu malveillant se retrouvera bloqué et incapable de nuire. Notez qu'une option permet de désactiver la sandbox sur Chrome et Edge, mettant en danger certains internautes.

L'expert assure que cette faille a été patchée par le moteur JavaScript V8. Par contre, ce correctif n'est pas inclus dans la dernière version de Chromium, dont Chrome 89 et Microsoft Edge 89. On peut s'attendre à ce qu'un patch soit inclus dans la future version des navigateurs, Chrome 90 et Edge 90. On vous en dit plus dès que possible. En attendant plus d'informations, n'hésitez pas à donner votre avis dans les commentaires ci-dessous.

https://twitter.com/r4j0x00/status/1381643526010597380?s=20