Google Chrome : cette faille critique concerne 2,5 milliards d’internautes, mettez votre navigateur à jour
Une faille critique découverte par les chercheurs d'Imperva permettrait aux hackers de voler vos données privées. Il est temps de mettre Chrome à jour.
Google Chrome est, de très loin, le navigateur le plus populaire au monde. C’est sans doute la raison pour laquelle c’est le browser le plus ciblé par les pirates. Pour assurer votre sécurité, il est important de le mettre fréquemment à jour. L’équipe d’experts en cybersécurité d’Imperva a repéré une faille de sécurité qualifiée de très sévère. Elle touche Chrome et tous les navigateurs basés sur Chromium.
À lire — Google Chrome est de loin le navigateur Internet avec le plus de failles de sécurité
La National Vulnerability Database décrit la faille CVE-2022-3656, aussi dénommée SymStealer, comme une « validation insuffisante des données dans le système de fichiers de Google Chrome avant la version 107.0.5304.62, qui permettait à un attaquant distant de contourner les restrictions du système de fichiers par l’intermédiaire d’une page HTML modifiée ». En exploitant cette brèche, les cybercriminels pourraient subtiliser les données privées de pas moins de 2,5 milliards d’internautes. Ces derniers courent le risque de se faire vider le contenu de leur wallet de crypto ou de leur compte en banque.
Cette faille de Chrome permet d'accéder à vos données sensibles grâce aux liens symboliques
SymStealer met à profit les symlinks ou liens symboliques, un type de fichier spécial qui, lorsque vous cliquez dessus, vous redirige vers un autre fichier (ou dossier). Cette fonctionnalité très pratique peut exposer des failles. Dans le cas de CVE-2022-3656, Chrome ne vérifie pas les droits d'accès du fichier/dossier vers lequel l’utilisateur est réorienté. Un pirate pourrait donc tenter d’accéder à des données normalement protégées à travers un symlink.
À lire — Chrome va bientôt permettre de désactiver ses extensions seulement sur certains sites
Selon Imperva, le hacker pourrait créer un faux site spécialisé dans les cryptomonnaies et inciter les internautes à créer un portefeuille. Pour des raisons de sécurité, il faudrait que ce dernier télécharge une clé de récupération. Dans le fichier de cette dernière se trouverait en fait un lien symbolique vers un fichier ou un dossier privé sur le PC du visiteur. Pour éviter d’être victime un jour d’une telle attaque, il est donc essentiel de mettre à jour votre navigateur. Chrome 109 est disponible depuis le 10 janvier 2023.
Source : Github