Alerte zero-day pour Google Chrome : mettez à jour immédiatement

Google publie une mise à jour d'urgence pour Chrome afin de corriger une vulnérabilité à haut risque exploitée discrètement, sans divulguer de détails.

Peu d'informations sur la faille zero-day

Google a publié une mise à jour de sécurité urgente pour Chrome afin de corriger une vulnérabilité zero-day récemment découverte qui, selon l'entreprise, est déjà exploitée. Contrairement à des cas similaires précédents, l'entreprise n'a pratiquement fourni aucune information technique. La faille n'a pas encore reçu de CVE et n'est suivie que par un numéro de référence interne, ce qui laisse les chercheurs dans le flou quant au sous-système du navigateur concerné.

La société n'a pas non plus indiqué qui avait identifié le problème ni quand il avait été signalé pour la première fois. Les informations publiques se limitent à sa classification comme vulnérabilité de haute gravité, ce qui indique un impact potentiel important sur la sécurité si elle n'est pas corrigée.

Risque de compromission plus grave

Bien que Google ait gardé les détails secrets, les analystes en sécurité notent que de nombreuses exploitations Chrome passées provenaient d'erreurs de gestion de la mémoire dans le moteur JavaScript V8 ou dans des composants adjacents. Ces catégories de bogues, telles que la confusion de types ou les conditions d'utilisation après libération, peuvent permettre aux acteurs malveillants d'exécuter du code au-delà des limites du navigateur.

Ces vulnérabilités ont toujours été exploitées pour des intrusions ciblées, souvent liées à des acteurs soutenus par des États ou à des opérateurs de logiciels espions commerciaux. Compte tenu de l'empreinte publique minimale de l'exploit actuel, les experts estiment que ce cas pourrait également refléter une campagne ciblée plutôt qu'une tentative généralisée de compromission massive.

La publication du correctif résout d'autres problèmes

Le correctif d'urgence fait partie de la mise à jour Chrome 143, qui résout également deux failles de gravité moyenne sans rapport avec le zero-day. L'une concerne un problème d'utilisation après libération dans le module de gestion des mots de passe, tandis que l'autre provient d'une gestion défectueuse au sein du composant de la barre d'outils.

Ces deux vulnérabilités supplémentaires ont été signalées dans le cadre du programme de prime aux bogues de Google, ce qui a permis aux chercheurs qui y ont contribué de gagner 2 000 dollars chacun. Google a exhorté les utilisateurs à effectuer immédiatement la mise à jour, tout en continuant à coordonner la divulgation et à finaliser la documentation technique relative au zero-day.

Tenir à distance les exploits zero-day

Pour renforcer votre résolution numérique contre les attaques zero-day, il ne suffit pas de mettre à jour votre navigateur en temps voulu. Des logiciels spécialisés tels que Bitdefender Ultimate Security offrent une détection des menaces en temps réel, une protection Web avancée et des mesures de protection de l'identité qui permettent de bloquer les exploits émergents avant qu'ils ne causent des dommages.