Introduction
Google a publié du code d'exploitation pour une vulnérabilité non corrigée dans son codebase de navigateur Chromium, mettant en danger des millions d'utilisateurs de Chrome, Microsoft Edge et d'autres navigateurs basés sur Chromium.
Contexte Technique
La vulnérabilité exploite l'interface de programmation Browser Fetch, qui permet de télécharger de longues vidéos et d'autres fichiers importants en arrière-plan. Un attaquant peut utiliser l'exploit pour créer une connexion permettant de surveiller certains aspects de l'utilisation du navigateur d'un utilisateur et de lancer des attaques de déni de service.
La vulnérabilité, non corrigée depuis 29 mois, peut être exploitée par n'importe quel site Web visité par un utilisateur. Elle peut être utilisée pour créer une porte dérobée limitée, permettant à un attaquant de contrôler un grand nombre de dispositifs et de les utiliser pour des attaques de type botnet.
Analyse et Implications
La publication prématurée du code d'exploitation par Google a suscité des inquiétudes quant à la sécurité des utilisateurs de Chromium. La vulnérabilité peut être utilisée pour lancer des attaques de type DDoS, surveiller l'activité des utilisateurs et même créer un réseau de dispositifs compromis.
Un chercheur indépendant, Lyra Rebane, a découvert la vulnérabilité et l'a signalée à Google en 2022. Il a déclaré que l'utilisation du code d'exploitation serait « assez facile », mais que la mise à l'échelle pour contrôler un grand nombre de dispositifs nécessiterait plus de travail.
Perspective
Il est essentiel de surveiller l'évolution de cette vulnérabilité et de prendre des mesures pour protéger les utilisateurs de Chromium. Google devrait corriger la vulnérabilité le plus rapidement possible pour prévenir les attaques potentielles. Les utilisateurs de Chromium doivent être conscients des risques et prendre des précautions pour protéger leurs dispositifs et leurs données.
