Comme prévu, depuis des années, les acteurs malveillants ont le navigateur Google Chrome parmi leurs principales cibles. Ce n’est pas pour rien qu’il s’agit de l’une des solutions logicielles les plus répandues et utilisées sur la plupart des ordinateurs.
C'est précisément pourquoi les attaquants tentent de profiter des vulnérabilités qui apparaissent dans ce programme et de s'emparer des données des utilisateurs. Et c’est précisément là qu’interviennent les mises à jour quasi constantes que Google nous envoie pour corriger toutes ces failles de sécurité, en essayant de nous protéger à tout prix.
Pour vous donner une idée, nous allons maintenant vous parler d'une vulnérabilité récente considérée comme de haute gravité qu'ils ont appelée Brash. Tout cela est quelque chose dont nous informe le chercheur José Pino, qui révèle un grave faille de sécurité dans le moteur de rendu Blink des navigateurs Chromium, qui inclut bien sûr Google Chrome.
Comment fonctionne cette grave faille de sécurité dans Chrome
En réalité, il s'agit d'une vulnérabilité détectée dans le navigateur du géant de la recherche et bien d'autres avec le même moteur de rendu. Cela permet aux attaquants de bloquer le programme instantanément à l'aide d'une seule URL malveillante. Et pas seulement cela, car il peut être exploité pour bloquer ces programmes basés sur Chromium, en quelques secondes seulement.
Comme il nous l'informe, impétueux est une vulnérabilité critique dans le moteur de rendu Blink qui alimente les navigateurs basés sur Chromium. Le bug permet ainsi à n'importe quel navigateur Chromium de planter dans un délai compris entre 15 et 60 secondes en exploitant une faille dans la gestion de certaines opérations du DOM. La vulnérabilité exploite l'absence de limitation de débit dans l'API document.title pour inonder Chrome et tous les autres navigateurs avec des millions de mises à jour DOM par seconde.
De cette façon, cela le surcharge et provoque le piratage du programme. Tout cela provoque des pics d'utilisation du processeur, ce qui se traduit par Crashes et ralentissements du système d'exploitation complet. Cela se produit sur les ordinateurs de bureau et les appareils Android. Il est important de savoir que la vulnérabilité touche potentiellement plus de 3 milliards d’utilisateurs dans le monde.
Bien que l’impact direct de Brash soit un crash du système, les experts en cybersécurité préviennent que ces attaques sont utilisées comme écran de fumée. Pendant que l'utilisateur est distrait en essayant de récupérer le navigateur, un attaquant pourrait lancer des attaques de phishing ou masquer le vol de données en exécutant des scripts en arrière-plan.
Voici comment cela affecte les autres navigateurs Chromium
Les experts en sécurité ont testé la vulnérabilité Brash sur plusieurs navigateurs basés sur Chromium et sur différentes plates-formes telles que macOS, Windows et Linux. Tous sont vulnérables car la faille réside au cœur du moteur de rendu, Blink. C’est le temps qu’il a fallu pour pirater les applications.
- Chrome : 15 à 30 secondes.
- Fonctionnement : 60 secondes.
- Courageux : 30 à 125 secondes.
- Bord : 15-25 secondes.
- Vivaldi : 15-30 secondes.
- Comète de perplexité : 15 à 35 secondes.
- Atlas ChatGPT : 15 à 60 secondes.
- Navigateur Arc : 15 à 30 secondes.
Nous devons garder à l'esprit que d'autres navigateurs, comme ce qui se passe avec Firefox qui utilise un moteur Gecko ou Safarisont immunisés contre les attaques en tant que telles.
Le principal danger de la vulnérabilité Brash est qu’elle peut être utilisée pour plusieurs tâches malveillantes ayant de graves conséquences. En fait, l’une de ses principales caractéristiques critiques est sa capacité à être programmée pour fonctionner à des moments précis. L'attaquant peut injecter le code avec un déclencheur temporaire, restant inactif jusqu'à un moment précis.
Pour conclure, nous vous dirons que cette vulnérabilité ne réside pas dans un code complexe ou des techniques avancées, mais dans le manque fondamental de conception d'un élément aussi répandu que le moteur de rendu Blink que des milliards utilisent dans leurs navigateurs Web. Dans ces instants, Google n'a pas publié de patch officiel pour la vulnérabilité Brash dont nous vous avons parlé. Il est toutefois conseillé de maintenir Chrome à jour avec la dernière version pour se protéger des autres bugs en attendant un nouveau patch.