Faille Chrome Edge : Google publie par erreur un exploit depuis 2022

Google a publié par erreur le code d’exploitation d’une faille critique dans Chromium, le moteur qui propulse Chrome, Edge, Opera, Brave et Vivaldi. La vulnérabilité, connue depuis 2022, n’a toujours pas été corrigée 40 mois plus tard. En attendant, le code d’exploitation est accessible à tous, et des millions d’utilisateurs sont potentiellement exposés.

L’erreur de Google qui fait trembler Chromium

L’incident s’est produit lorsque les équipes de Chromium ont publié par mégarde le code d’exploitation d’une vulnérabilité non corrigée. Le code a été rapidement retiré, mais sur Internet, une fois publié, c’est publié pour toujours. Le code d’exploitation est déjà partagé et accessible.

La faille se situe dans l’API Fetch, qui permet aux sites web de télécharger des fichiers en arrière-plan. Si elle est exploitée, elle permet à un attaquant de :

• Établir une connexion persistante avec le navigateur de la victime.
• Surveiller l’activité en ligne de l’utilisateur sans qu’il s’en aperçoive.
• Naviguer anonymement via le navigateur piraté comme un proxy.
• Lancer des attaques par déni de service (DDoS) en utilisant des milliers de machines compromises.

L’exploitation ne nécessite qu’une visite sur un site malveillant avec un script JavaScript piégé. La vulnérabilité sert alors de porte dérobée pour un contrôle discret du navigateur. à plus grande échelle, elle pourrait créer un botnet de milliers d’appareils.

Pourquoi cette faille n’est-elle pas corrigée depuis 2022 ?

La question est légitime. Quatre ans après le signalement, pourquoi aucun correctif ? La réponse réside dans la complexité du projet Chromium :

• Chromium est open source : Des centaines de contributeurs, des priorités conflictuelles.
• L’API Fetch est au cœur du navigateur : La corriger sans casser des milliers de sites web est un exercice délicat.
• Classification divergente : Certains développeurs la jugent grave, d’autres non. Le consensus n’a jamais été atteint.
• Pas de CVE officielle : Sans identifiant CVE, la faille n’a pas la visibilité nécessaire pour devenir prioritaire.

Le résultat : une vulnérabilité connue, partiellement comprise, non corrigée, et maintenant avec un exploit public. C’est le scénario cauchemardesque pour la sécurité des navigateurs.

Que faire pour se protéger

En attendant un correctif qui tarde à venir, voici les mesures immédiates :

1. Utilisez Firefox ou Safari : Ces navigateurs ne sont pas basés sur Chromium et ne sont pas affectés par cette faille.
2. Évitez les sites suspects : La faille nécessite une visite sur un site malveillant avec un script piégé. Méfiez-vous des liens inattendus.
3. Surveillez les téléchargements inhabituels : Une fenêtre de téléchargement qui s’ouvre sans action de votre part peut être un signe d’exploitation.
4. Utilisez un bloqueur de scripts : Les extensions comme uBlock Origin ou NoScript peuvent bloquer les scripts malveillants sur les sites non fiables.
5. Mettez à jour Chrome : Même si cette faille spécifique n’est pas corrigée, les mises à jour de Chrome corrigent d’autres vulnérabilités critiques.

Questions fréquentes