Le navigateur Google Chrome 87 corrige 33 failles de sécurité

Google a déployé des correctifs pour plusieurs vulnérabilités de haute gravité dans son navigateur Chrome avec la sortie de Chrome 87 pour les utilisateurs de Windows, Mac et Linux.

En tout, Google a corrigé 33 vulnérabilités dans sa dernière version, Chrome 87.0.4280.66, qui est en cours de déploiement dans les prochains jours. Cela inclut un CVE de haute gravité (CVE-2020-16022) qui pourrait permettre à un attaquant distant de contourner les restrictions de sécurité et d’accéder à n’importe quel port TCP (Transmission Control Protocol) ou UDP (User Datagram Protocol) sur l’ordinateur d’une victime. Ce problème a été divulgué le 31 Octobre par Samy Kamkar, chercheur en sécurité et co-fondateur d’Openpath, qui a qualifié l’attaque de «NAT slipstreaming».

«Le Slipstreaming est facile à exploiter car il est essentiellement entièrement automatisé et fonctionne entre navigateurs et multiplateformes, et ne nécessite aucune interaction de l’utilisateur autre que la visite du site victime», a déclaré Kamkar.

google chrome 87

Un attaquant ayant les compétences nécessaires pourrait exploiter à distance la faille en persuadant une victime (via ingénierie sociale et d’autres tactiques) de visiter un site Web spécialement conçu . L’attaquant serait alors en mesure de contourner les restrictions de sécurité.

« NAT Slipstreaming permet à un attaquant d’accéder à distance à n’importe quel service TCP/UDP lié à une machine victime, en contournant le NAT/pare-feu de la victime (contrôle arbitraire du pare-feu sténopé), juste en visitant un site Web », a déclaré Kamkar dans son analyse du problème .

L’attaque se centralise spécifiquement autour de la traduction d’adresses réseau (NAT-Network Adress Translation), qui traduit les adresses IP des ordinateurs d’un réseau local en une seule adresse IP. NAT permet à un seul périphérique (comme un routeur) d’agir comme un agent entre Internet et un réseau local – ce qui signifie qu’une seule adresse IP unique est nécessaire pour représenter un groupe entier d’ordinateurs sur tout ce qui se trouve en dehors de leur réseau.

Pour lancer une attaque, l’appareil de la victime doit également disposer du mécanisme de suivi de connexion Application Level Gateway (ALG) intégré aux NAT. NAT Slipstreaming exploite le navigateur de l’utilisateur en conjonction avec ALG.

«Cette attaque tire parti du contrôle arbitraire de la partie données de certains paquets TCP et UDP sans inclure HTTP ou d’autres en-têtes; l’attaque effectue cette nouvelle technique d’injection de paquets sur tous les principaux navigateurs modernes (et plus anciens), et est une version modernisée de ma technique d’épinglage NAT datant de 2010 (présentée au DEFCON 18 + Black Hat 2010) », a déclaré Kamkar.

google chrome

Google a déclaré que le problème ici était dû à une application insuffisante des politiques de sécurité dans le réseau. Cependant, Kamkar a déclaré qu’il ne considérait pas le NAT Slipstreaming comme techniquement une faille car il n’y a pas de véritable «bug» dans les navigateurs ou les routeurs et les deux font exactement ce qu’ils sont censés faire. «Il s’agit plutôt d’un effet secondaire inattendu d’une interaction complexe entre les deux systèmes en cours d’exploitation», a-t-il déclaré.

D’autres navigateurs – y compris Mozilla Firefox et le moteur de rendu de Chromium nommé Blink – ont des plans en cours pour déployer leurs propres mises à jour pour résoudre ce problème.

Autres failles importantes corrigées par Chrome 87

Google a déployé des correctifs pour plusieurs autres vulnérabilités de haute gravité, cependant, comme c’est généralement le cas pour leur navigateur, ils sont restés muets sur les détails des bugs de sécurité jusqu’à ce que la majorité des utilisateurs soient mis à jour avec un correctif en ayant installé la dernière version de Chrome 87.

Parmi les autres failles corrigées par Chrome 87, nous notons un problème use-after-free (CVE-2020-16018) dans le composant de paiement de Chrome, signalé par Man Yue Mo de GitHub Security Lab; ainsi qu’une erreur use-after-free dans l’interface du plug-in de navigateur PPAPI de Google (CVE-2020-16014) signalée par Rong Jian et Leecraso de 360 ​​Alpha Lab.

Deux «implémentations inappropriées» de haute gravité ont également été découvertes, une dans le composant filesystem (CVE-2020-16019) et une dans le composant cryptohome (CVE-2020-16020). Les deux ont été découverts par Rory McNamara.

De plus, des failles de dépassement de tampon ont également été découvertes dans les composants de l’interface utilisateur (CVE-2020-16024) et du presse-papiers (CVE-2020-16025). Les deux ont été rapportés par Sergei Glazunov de Google Project Zero.

Cette dernière mise à jour de Chrome 87 intervient une semaine après la divulgation de deux vulnérabilités zero-day de haute gravité dans le navigateur Chrome. Les deux failles (CVE-2020-16013 et CVE-2020-16017) ont été activement exploitées dans la nature et permettent à un attaquant distant non authentifié de compromettre un système affecté via le Web. Une mise à jour de canal stable, 86.0.4240.198 pour Windows, Mac et Linux, a été déployée il y’a 2 semaines pour corriger les failles.

S’abonner
Notifier de
guest
0 Commentaires
Annotations
Voir tout les commentaires
0
Nous aimerions connaître votre avis, laissez un commentaire.x
()
x