Google corrige 24 vulnérabilités avec une nouvelle mise à jour de Chrome

La première version stable de Google Chrome 105 pour Windows, Mac et Linux, publiée cette semaine, contenait des correctifs pour 24 vulnérabilités dans les versions précédentes du logiciel, dont une faille « critique » et huit que la société a classées comme étant « élevées ». gravité.

Une pluralité (neuf) des problèmes de sécurité résolus par Google avec Chrome 105 étaient des vulnérabilités dites d'utilisation après libération, ou des failles qui permettent aux attaquants d'utiliser des espaces mémoire précédemment libérés pour exécuter du code malveillant, corrompre des données et entreprendre d'autres actions malveillantes. . Quatre des vulnérabilités corrigées étaient des débordements de tampon de tas dans divers composants Chrome, notamment WebUI et Screen Capture.

Les attaquants exploitent souvent les dépassements de tampon à diverses fins malveillantes, notamment l'exécution de code aléatoire, l'écrasement de données, le blocage des systèmes et le déclenchement de conditions de déni de service.

Écrasement du presse-papiers

Un problème que Google ne semble pas avoir résolu dans les centres de mise à jour concernant les presse-papiers. Selon Malwarebytes, lorsque les utilisateurs de Google Chrome – ou de tout navigateur basé sur Chromium – visitent un site Web, le site peut pousser n'importe quel contenu qu'il souhaite vers le presse-papiers du système d'exploitation de l'utilisateur, sans l'autorisation de l'utilisateur ni aucune interaction.

"Cela signifie qu'en visitant simplement un site Web, les données de votre presse-papiers peuvent être écrasées à votre insu ou sans votre consentement", a déclaré Malwarebytes.

Cela peut entraîner la perte de données précieuses qu'ils auraient pu vouloir copier-coller ailleurs, tout en donnant aux attaquants la possibilité d'essayer d'introduire du code malveillant sur le système d'un utilisateur, a déclaré le fournisseur de sécurité. Le problème est lié à l'absence de toute exigence dans Chrome et les navigateurs basés sur Chromium pour que les utilisateurs prennent des mesures spécifiques telles que l'utilisation de « Ctrl+C » pour copier le contenu d'un site Web vers le presse-papiers de l'utilisateur, a déclaré Malwarebytes.

Le chercheur en sécurité Jeff Johnson a identifié le problème avec Chrome comme faisant partie d'un problème plus large. cela affecte à la fois Safari et Firefox aussi. "Chrome est actuellement le pire contrevenant, car l'exigence de geste de l'utilisateur pour écrire dans le presse-papiers a été accidentellement rompue dans la version 104", a-t-il déclaré dans un rapport cette semaine.

Cependant, la réalité est que les utilisateurs d'autres navigateurs tels que Firefox et Safari peuvent voir des sites Web écraser leur presse-papiers système plus facilement qu'ils ne le pensent, a déclaré Johnson. Bien que ces deux navigateurs exigent que les utilisateurs prennent certaines mesures pour copier le contenu du site Web dans leur presse-papiers, les actions sont beaucoup plus vastes qu'ils ne pourraient l'imaginer.

Par exemple, des actions telles que se concentrer sur un écran ou appuyer sur les touches enfoncées/keyup et mousedown/ mouseup peuvent entraîner la copie du contenu d'un site Web dans le presse-papiers à l'insu de l'utilisateur, a déclaré Johnson.

Le chercheur a noté que les développeurs de Chrome sont déjà conscients du problème et s'y attaquent. Google n'a pas immédiatement répondu à une demande de commentaire de Dark Reading.

« Les attaquants peuvent exploiter ce bug pour copier des liens malveillants dans le presse-papiers des utilisateurs, ce qui pourrait amener les utilisateurs à coller ces liens dans leur barre d'adresse et à accéder accidentellement à des sites malveillants », explique Ivan Righi, analyste principal des cybermenaces chez Digital Shadows.

« Une autre façon d’exploiter ce bug consiste à effectuer des transactions frauduleuses en crypto-monnaie. Les acteurs malveillants pourraient exploiter cette faille en conjonction avec des attaques d’ingénierie sociale pour amener les utilisateurs à saisir de mauvaises adresses de portefeuille pour les transactions », explique Righi. Cependant, la probabilité que de telles attaques réussissent est faible, car les utilisateurs remarqueront probablement des contenus anormaux placés dans leur presse-papiers, dit-il.

Une pléthore de problèmes d'utilisation après libération

Pendant ce temps, la seule vulnérabilité critique (CVE-2022-3038) résolue par Google avec la version stable de Chrome 105 a été signalée par un chercheur en sécurité de sa propre équipe de recherche de bogues Project Zero : la faille d'utilisation après libération dans le service réseau Google Chrome donne aux attaquants distants un moyen d'exécuter du code arbitraire
ou déclencher des conditions de déni de service sur les systèmes des utilisateurs en les amenant à visiter un site Web militarisé.

Des chasseurs de bogues externes et des chercheurs en sécurité ont signalé toutes les vulnérabilités restantes que Google a corrigées cette semaine dans Chrome. La plus importante d'entre elles semble avoir été CVE-2022-3039, une vulnérabilité de haute gravité dans WebSQL, de type utilisateur après libération, que deux chercheurs du 360 Vulnerability Research Institute de Chine ont signalée à Google. Les chercheurs ont reçu 10,000 XNUMX $ pour avoir signalé le bug à Google – le montant le plus élevé accordé dans l’ensemble actuel.

Une autre faille à fort impact et à utilisation après libération dans Chrome Layout a rapporté 9,000 1,000 $ au chercheur anonyme en sécurité qui a signalé le problème à Google. Les primes pour les bogues restants variaient entre 7,500 XNUMX et XNUMX XNUMX dollars. Google n'a pas encore déterminé de récompense pour quatre divulgations de bogues.

Comme c'est devenu une pratique courante chez les principaux fournisseurs, Google a déclaré avoir restreint l'accès aux détails des bogues jusqu'à ce que la plupart des utilisateurs aient la possibilité d'implémenter la nouvelle version stable de Chrome.

"Nous conserverons également des restrictions si le bug existe dans une bibliothèque tierce dont dépendent également d'autres projets mais qui n'ont pas encore été corrigés", Google a déclaré dans un blog cette semaine. Un responsable de la sécurité de Microsoft avait récemment utilisé la même raison pour expliquer pourquoi les divulgations de bogues de Microsoft contiennent également peu de détails ces jours-ci.

Bien que les corrections de bugs soient presque certainement la principale raison pour laquelle les utilisateurs pourraient souhaiter mettre à jour vers la version stable de Chrome 105, la nouvelle version du navigateur introduit également une poignée de fonctionnalités supplémentaires. Ceux-ci comprennent des fonctionnalités qui permettent aux développeurs d'ajouter des boutons de contrôle Windows (tels que la fermeture, l'agrandissement ou la réduction) aux applications Web progressives, une nouvelle API d'image dans l'image pour Chrome sur Android et des améliorations de l'API de navigation de Chrome.