Google vient de publier des correctifs pour CVE-2017-5070 et 29 d'autres failles dans Chrome dans la dernière version stable du navigateur, Chrome 59.0.3071.86. Google payé $23,500 aux chercheurs externes pour leurs résultats.
Outre les défauts Chrome, une vulnérabilité de confusion de type dans V8 (moteur JavaScript open-source pour Chrome) a été également fixé, et le chercheur qui l'a trouvé a $7,500.
Chrome 59.0.3071.86: CVE-2017-5070 et autres vulnérabilités corrigées
Google a corrigé trois failles d'usurpation d'adresse dans la dernière version de son navigateur et plusieurs autres depuis septembre dernier. Les pirates ont utilisé ces défauts pour tromper les utilisateurs à visiter des sites Web suspects, même ceux emballés avec des logiciels malveillants.
Google était assez complet pour libérer les détails entourant les vulnérabilités qui ont été regroupées en haute, moyen, et les groupes à faible sévérité:
[$7500] [722756] Haut CVE-2017-5070: Tapez la confusion dans V8. Rapporté par Zhao Qixun(@ S0rryMybad) de Qihoo 360 Vulcain équipe sur 2017-05-16 [$3000] [715582] Haut CVE-2017-5071: Hors limites lu V8. Rapporté par Choongwoo Han 2017-04-26 [$3000] [709417] Haut CVE-2017-5072: usurpation d'adresse dans Omnibox. Rapporté par Rayyan Bijoora sur 2017-04-07 [$2000] [716474] Haut CVE-2017-5073: Utilisez libre après l'aperçu avant impression. Rapporté par Khalil Zhani sur 2017-04-28 [$1000] [700040] Haut CVE-2017-5074: Utilisez après gratuitement dans les applications Bluetooth. Rapporté par anonyme 2017-03-09 [$2000] [678776] Moyen CVE-2017-5075: Fuite d'informations CSP rapports. Rapporté par Emmanuel Gil Peyrot sur 2017-01-05 [$1000] [722639] Moyen CVE-2017-5086: usurpation d'adresse dans Omnibox. Rapporté par Rayyan Bijoora sur 2017-05-16 [$1000] [719199] Moyen CVE-2017-5076: usurpation d'adresse dans Omnibox. Rapporté par Samuel Erb sur 2017-05-06 [$1000] [716311] Moyen CVE-2017-5077: dépassement de mémoire tampon dans Heap Skia. Rapporté par Sweetchip sur 2017-04-28 [$1000] [711020] Moyen CVE-2017-5078: injection de commande possible mailto manipulation. Rapporté par Jose Carlos Exposito Bueno 2017-04-12 [$500] [713686] Moyen CVE-2017-5079: l'usurpation d'identité de l'interface utilisateur dans Blink. Rapporté par Khalil Zhani sur 2017-04-20 [$500] [708819] Moyen CVE-2017-5080: Utilisez après gratuitement carte de crédit autofill. Rapporté par Khalil Zhani sur 2017-04-05 [$N / A] [672008] Moyen CVE-2017-5081: by-pass de vérification d'extension. Rapporté par Andrey Kovalev (@ L1kvID) Yandex équipe de sécurité sur 2016-12-07 [$N / A] [721579] Faible CVE-2017-5082: durcissement insuffisant dans l'éditeur de carte de crédit. Rapporté par Nightwatch Cybersécurité Recherche sur 2017-05-11 [$N / A] [714849] Faible CVE-2017-5083: l'usurpation d'identité de l'interface utilisateur dans Blink. Rapporté par Khalil Zhani sur 2017-04-24 [$N / A] [692378] Faible CVE-2017-5085: Inappropriée exécution javascript sur les pages WebUI. Rapporté par Zhiyang Zeng de Tencent service de plate-forme de sécurité sur 2017-02-15
Google Présenter Ad-Blocker natif de Chrome 2018
La mise à jour ne comprend pas un correctif pour un hack qui permet de télécharger automatiquement les attaquants des fichiers malveillants sur l'ordinateur de la victime dans le but de voler des informations d'identification et de lancer des attaques de relais SMB. Cette faille provient de la façon dont Chrome et Windows lui-même gèrent les fichiers .SCF. Google se prépare soi-disant un correctif pour le problème.
Quant à l'avenir proche, Google travaille actuellement sur une nouvelle annonce-bloquant pour Chrome qui devrait être présenté l'année prochaine. Selon le Wall Street Journal, la nouvelle fonctionnalité sera activée par défaut et empêchera les publicités de s'afficher sur les sites Web offrant une mauvaise expérience publicitaire aux utilisateurs.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: