Aleksandar Nikolic, un chercheur de Cisco Talos, a découvert une vulnérabilité en PDFium, le lecteur PDF par défaut dans Google Chrome. Le défaut est un code arbitraire exécution une, et est décrit comme CVE-2016-1681.
La vulnérabilité peut être exploitée lorsqu'un PDF qui comprend une image JPEG2000 intégrée active un débordement de mémoire tampon exploitable.
En savoir plus sur CVE-2016-1681
“Un appel assert existant dans la bibliothèque OpenJPEG empêche le débordement de tas dans construit autonome, mais dans la construction inclus dans les versions de libération de Chrome, les assertions sont omis“, le chercheur écrit.
En regardant simplement un document PDF qui comprend une image JPEG2000 intégré, l'attaquant peut obtenir l'exécution de code arbitraire sur le système de la victime. Le vecteur d'attaque le plus efficace est l'acteur de menace pour placer un fichier PDF malveillant sur un site Web et puis rediriger les victimes vers le site Web en utilisant soit des e-mails de phishing ou même publicité malveillante.
En savoir plus sur Dépassements de tampon et malvertising
Heureusement, Google a déjà fixé la faille, et ce fut un petit effet. En fait, Google a été très rapide - Talos a signalé la vulnérabilité le 19 mai, et le correctif était prêt pour le 25 mai. La correction comprend une seule ligne de code qui a modifié une assertion à un si.
Si vous utilisez Chrome, vous devez mettre à jour votre navigateur, et la version 51.0.2704.63 est ce que vous avez besoin afin que le CVE est inexploitable. Cependant, Chrome est réglé sur mise à jour automatique, sauf si vous avez décidé autrement. Dans ce cas, vous devrez mettre à jour manuellement.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: