Google Chrome victime d’une première vulnérabilité critique
Une vulnérabilité de Webkit combinée à un bug Java permet d’exécuter des applications à distance sous Windows.
A peine sorti et déjà faillible. Selon Zero Day, un blog de ZDnet.com, l’expert en sécurité Aviv Raff a découvert une faille dans Chrome, le navigateur de Google qui, rappelons-le, est encore en phase bêta. Le chercheur aurait réussi à combiner deux vulnérabilités pour obtenir un moyen d’exécuter des applications à distance par l’intermédiaire du nouveau navigateur.
Les deux vulnérabilités sont issus d’une faille de Webkit, le moteur de rendu des pages Web de Chrome et d’un bug Java lié au fichier d’archives JAR. Le chercheur a mis en ligne une démonstration de sa démarche (un proof of concept).
La page de démonstration invite le visiteur sous Chrome à cliquer sur un bouton pour recevoir des coupons gratuits (de « café chrome »). Une fois le bouton cliqué, le navigateur lance l’exécution de Notepad sous Java.
Une démonstration inoffensive qui apporte la preuve de la vulnérabilité de Chrome. Ennuyeux pour un navigateur développé (et présenté) dans un souci de sécurité poussée. D’autant que, paradoxalement, Apple, qui utilise Webkit dans Safari, avait corrigé la faille en question.
Prudence donc quand à l’usage de Chrome même si les utilisateurs devraient être préservés des sites malintentionnés grâce aux fonctionnalités anti-phishing et anti-malware du navigateur de Google.