Chercheur indien en sécurité Rajvardhan Agarwal a récemment publié un code de validation de principe pour une toute nouvelle vulnérabilité affectant Google Chrome, Microsoft bord, Courageux, et Opera (tous à base de chrome).
La vulnérabilité réside dans le moteur JavaScript V8, et c'est probablement le même défaut, démontré pendant Pwn2Own 2021 par les chercheurs de Dataflow Security, Bruno Keith et Niklas Baumstark. Les deux chercheurs ont remporté $100,000 du concours de piratage pour exploiter avec succès la vulnérabilité pour exécuter du code malveillant dans les navigateurs Chrome et Edge.
Code d'exploitation de preuve de concept d'Agarwal pour la nouvelle faille de chrome
Le chercheur indien a partagé une capture d'écran sur Twitter, qui révèle que les fichiers HTML et JavaScript de preuve de concept peuvent être tous deux chargés dans un navigateur basé sur Chromium. Le chargement de ces fichiers lancera l'exploit de vulnérabilité et lancera également l'application de calcul Windows. Cependant, l'exploit doit être enchaîné avec une autre vulnérabilité pour contourner les protections du bac à sable de Chrome.
Comment Agarwal a-t-il élaboré le code PoC?
Le chercheur a probablement procédé à une rétro-ingénierie du correctif publié par l'équipe de Chromium peu de temps après que les détails de la vulnérabilité ont été partagés avec Google..
Effectivement, un correctif a été publié par Google pour remédier à la faille de la dernière version du V8. Cependant, le correctif n’a pas été appliqué au canal stable, créer une opportunité pour les pirates d'exploiter des navigateurs vulnérables. Vous devriez être à l'affût de Chrome 90 qui devrait être publié plus tard dans la journée.
L'année dernière, Google a corrigé un autre bogue dans Chrome pour ordinateur de bureau - CVE-2020-16009, décrit comme un défaut d'implémentation inapproprié dans le V8. Le bogue a été exploité dans des attaques d'exécution à distance via une page HTML spécialement conçue.
Protection contre les vulnérabilités dans les navigateurs basés sur Chromium
Du côté positif, Google et Microsoft prévoient un nouveau amélioration de la sécurité de Microsoft Edge et de Google Chrome. Les deux navigateurs basés sur Chrommium prendront en charge une nouvelle fonctionnalité de sécurité fournie par Intel. La fonction dite CET, ou la technologie d'application de flux de contrôle empêchera les vulnérabilités.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: