Un chercheur en sécurité a publié un code d'exploitation de preuve de concept (PoC) pour une faille récemment découverte affectant Google Chrome et d'autres navigateurs basés sur Chromium tels que Microsoft Edge, Opera et Brave.
Publié par Rajvardhan Agarwal, l'exploit concerne une vulnérabilité d'exécution de code à distance dans le moteur de rendu JavaScript V8 qui alimente les navigateurs Web.
Selon la capture d'écran partagée par Agarwal, le fichier HTML PoC et son fichier JavaScript associé peuvent être chargés dans un navigateur basé sur Chromium pour exploiter la faille de sécurité et lancer l'application Windows calculator (calc.exe). Mais il convient de noter que l'exploit doit être enchaîné avec une autre faille qui peut lui permettre d'échapper aux protections du bac à sable de Chrome.
Il semble qu'Agarwal ait été en mesure de mettre en place le PoC en procédant à une ingénierie inverse du correctif que l'équipe Google Chromium a poussé vers le composant open source après que les détails de la faille aient été partagés avec l'entreprise.
Bien que Google ait résolu le problème dans la dernière version de V8, elle n'est pas encore disponible dans sa version stable, laissant ainsi les navigateurs vulnérables aux attaques. Google doit prochainement publier Chrome 90, mais il n'est pas clair si la version comprendra un correctif pour la faille V8.
Source : The Hacker News
