Google a corrigé une faille zero-day de Chrome, la cinquième de l'année. Celle-ci permet à un hacker de prendre le contrôle de l'ordinateur par le navigateur.
Une nouvelle faille de sécurité menace les utilisateurs du navigateur Google Chrome, exposant leur ordinateur à une prise de contrôle par des cybercriminels. Une fois n'est pas coutume, la firme de Mountain View a rapidement réagi en publiant un correctif en seulement deux jours afin de mettre fin à cette dangereuse vulnérabilité. À vos souris, pads et claviers pour mettre à jour au plus vite votre navigateur.
Une faille zero-day exploitée pour diffuser des logiciels espions grâce à Chrome
La faille découverte par un membre du Threat Analysis Group (TAG), le service de détection de la menace de Google, aurait pu permettre l'exécution de code malveillant, ou même de prendre le contrôle complet de l'ordinateur de la victime. Elle a également été exploitée par un fournisseur de services de surveillance commerciale pour installer des logiciels espions.
La mise à jour corrective, version 117.0.5938.132 de Chrome, est déployée sur Windows, Mac et Linux. Google appelle ses utilisateurs à vérifier qu'ils utilisent bien la dernière version du navigateur pour garantir leur sécurité.
Notons qu'il s'agit déjà de la cinquième vulnérabilité zero-day découverte depuis le début de l'année, la dernière datant de quelques semaines seulement. Ces failles « 0-day » sont détectées et exploitées par les hackers avant même que les développeurs puissent s'en apercevoir.
Une vulnérabilité provoquée par un dépassement de tampon ?
Bien que la mise à jour soit disponible immédiatement pour certains, il faudra probablement quelques jours ou semaines avant qu'elle puisse atteindre l'ensemble des utilisateurs.
La faille semble en tout cas avoir été causée par un dépassement de tampon (une anomalie qui se produit lorsqu'un programme qui écrit des données dans une mémoire tampon provoque une surcharge de la capacité de la mémoire) de tas dans l'encodage VP8 de la bibliothèque de codes open source libvpx. Elle pouvait se matérialiser par un simple crash du navigateur ou par l'exécution de code arbitraire.
Si la mise à jour a été rapide du côté de la firme californienne, on ignore encore les détails précis de la faille.
Source : Google
.
