Dans le cadre du sommet MobilePwn2Own à Tokyo, à l'occasion de la conférence PacSec, les chercheurs en sécurité de l'équipe de Quihoo 360 ont présenté une nouvelle faille qui affecte la version mobile de Chrome, sans en dévoiler les caractéristiques. L'expert Guang Gong révèle toutefois que cette vulnérabilité exploite V8, le moteur d'exécution Javascript de Chrome publié en open source.
Une éventuelle attaque serait simple à mettre en oeuvre puisqu'elle ne nécessiterait pas de contourner les dispositifs de sécurité intermédiaires. Une page contenant du code malveillant suffit. « Dès que le téléphone accède au site Web, la vulnérabilité Javascript de V8 est exploitée pour installer une application de manière arbitraire (...) sans aucune interaction de la part de l'utilisateur », affirme Dragos Ruiu organisateur de la conférence PacSec.
Selon Quihoo 360, tous les terminaux Android dotés de la dernière version de Chrome seraient concernés. Dans sa démonstration, il a réussi à installer le jeu BMX Bike mais une personne malintentionnée pourrait en profiter pour y injecter divers types de logiciels espions accédant de manière transparente au journal du téléphone, aux messages, aux emails...
Puisque le moteur V8 est accessible en open source, il trouve sa place dans d'autres navigateurs mobiles, comme Opera, par exemple.
M. Gong explique avoir prévenu Google de ses découvertes, la firme de Mountain View planche donc sur un correctif. Ce dernier sera premièrement publié au sein du code de l'AOSP et l'on espère que les constructeurs partenaires ne tarderont pas à le déployer sur leur terminaux.
