[ad_1]

Une société française de recherche en sécurité s’est vantée aujourd’hui d’avoir découvert un processus en deux étapes pour vaincre Google Chromec’est bac à sable, la technologie de sécurité conçue pour empêcher le navigateur d’être compromis par des failles de sécurité jusque-là inconnues. Les experts disent que la découverte, si elle est vraie, marque la première fois que les pirates ont trouvé un moyen de contourner la couche de sécurité tant vantée, et encouragera presque certainement les attaquants à concevoir des méthodes similaires pour subvertir cette technologie dans Chrome et d’autres logiciels largement utilisés.

Dans un avis publié aujourd’hui, Sécurité VUPEN a déclaré: « Nous sommes (mé)heureux d’annoncer que nous avons le Pwnd Google Chrome officiel et son bac à sable. » Le message comprend une vidéo montrant l’exploitation de ce que VUPEN prétend être une faille de sécurité précédemment non documentée dans Chrome v.11.0.696.65 sur Microsoft Windows 7 SP1 (x64).

« Alors que Chrome possède l’un des bacs à sable les plus sécurisés et a toujours survécu à la Concours Pwn2Own au cours des trois dernières années, nous avons maintenant découvert un moyen fiable d’exécuter du code arbitraire sur n’importe quelle installation de Chrome malgré son bac à sable, ASLR et DEP », note l’avis. ASLR et DEP sont deux des principales défenses de sécurité construit dans Windows Vista et Windows 7

porte-parole de Google Jay Nancarrow a déclaré que la société n’était pas en mesure de vérifier les affirmations de VUPEN, car VUPEN n’avait partagé aucune information sur leurs découvertes. « Si des modifications deviennent nécessaires, les utilisateurs seront automatiquement mis à jour vers la dernière version de Chrome », a écrit Nancarrow dans un e-mail à BreachTrace.

Chaouki Bekar, Le PDG et responsable de la recherche de VUPEN a confirmé que la société n’avait pas l’intention de partager des détails sur ses découvertes avec Google, et qu’elle n’était pas au courant des mesures que les utilisateurs pourraient prendre pour atténuer la menace de cette attaque.

« Non, nous n’avons pas alerté Google car nous ne partageons nos recherches sur les vulnérabilités qu’avec nos clients gouvernementaux pour la sécurité défensive et offensive », a écrit Bekar en réponse à une demande de commentaire envoyée par e-mail. « Malheureusement, nous ne connaissons aucune atténuation pour nous protéger contre ces vulnérabilités. »

Jérémie Grossmanexpert en sécurité des applications Web et directeur technique du cabinet de conseil en sécurité Sécurité WhiteHata qualifié la nouvelle de « très sérieuse ».

« Nous avons des gouvernements en concurrence pendant 0 jours, et nous ne savons même pas qui sont les acheteurs, peut-être que le gouvernement américain n’a pas obtenu le 0 jour », a déclaré Grossman.  » D’une manière ou d’une autre, les consommateurs ne sont pas protégés contre un 0 jour que nous pouvons t vraiment vérifier mais existe probablement. Je pense que c’est assez sérieux.

Bekar a expliqué que l’exploit qu’ils ont conçu utilise deux vulnérabilités distinctes : la première entraîne une corruption et une divulgation de la mémoire conduisant au contournement d’ASLR/DEP et à l’exécution de la première charge utile avec un niveau d’intégrité faible (à l’intérieur du bac à sable). Une deuxième charge utile est ensuite utilisée pour exploiter une autre vulnérabilité qui permet le contournement de la sandbox et l’exécution de la charge utile finale avec un niveau d’intégrité moyen (en dehors de la sandbox).

Grossman a déclaré que même si les affirmations de VUPEN pouvaient s’avérer exactes, il considérerait toujours Chrome comme plus sûr par défaut que l’un ou l’autre. Firefox ou Internet Explorer. « Comme l’indiquent les recherches de VUPEN, pour exploiter Chrome, vous devez avoir deux vulnérabilités, pas une seule. Avec Firefox et IE, vous n’avez besoin que d’une vulnérabilité dans ces navigateurs pour compromettre la machine. En outre, a-t-il déclaré, Chrome applique automatiquement les mises à jour de sécurité et aut0 corrige les plug-ins tiers comme Flash, souvent quelques jours avant qu’Adobe ne publie le correctif autonome pour Flash.

Selon les dernières statistiques de W3Schools.com, la part de marché de Chrome n’a cessé de croître au cours de l’année écoulée et représente désormais environ 25 % ; La part de marché d’Internet Explorer est tombée en dessous de celle de Chrome (24,3 %), tandis que Firefox détient près de 43 % de part de marché. (Chez BreachTrace.com, la répartition des parts de navigateur est d’environ 23 % Chrome, 26 % IE et 39 % Firefox).

Il semble étrange que VUPEN se vante d’un défaut qu’il envisage de vendre à des clients gouvernementaux à des fins offensives, car cela pourrait inciter les cibles potentielles à être extrêmement prudentes. Cela soulève également la question de savoir combien de temps il faudra avant que les pirates ne trouvent un moyen de vaincre la technologie de bac à sable entourant le Reader X d’Adobe, qui, selon la société, était basée en partie sur les recherches de Google. Actuellement, il existe plusieurs vulnérabilités zero-day qu’Adobe a reportées à la correction dans Reader X, par excès de confiance dans la capacité de sa technologie sandbox à contrecarrer ces attaques.

.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *