Google colmate 37 failles, dont 7 critiques, dans Chrome 155

Google déploie Chrome 155 sur Windows, macOS et Linux avec une mise à jour de sécurité. Le correctif comble 37 vulnérabilités du navigateur. Sept failles atteignent le niveau de gravité critique. Google présente ce déploiement comme la deuxième vague de correctifs en une semaine. La première faille critique concerne ANGLE, le composant qui adapte les commandes d’affichage aux cartes graphiques. Un programme peut l’inonder de données dans sa zone mémoire. Cette corruption peut permettre à un pirate de détourner le navigateur. Les six autres failles critiques relèvent du type « use-after-free ». Elles touchent notamment le cœur de Chrome, le réseau, les PDF et les contenus multimédias. Lire l’article original.

Les failles touchent plusieurs composants utilisés lors d’une navigation ordinaire. Les vulnérabilités « use-after-free » exploitent une zone mémoire déjà libérée par le programme. Dans certains contextes, elles permettent d’exécuter du code malveillant sur l’appareil. Une simple page web piégée peut alors suffire à déclencher l’attaque. Le correctif traite aussi 29 vulnérabilités de gravité élevée. Trois d’entre elles concernent V8, le moteur chargé d’exécuter le code JavaScript des sites. D’autres visent le gestionnaire de mots de passe intégré. Google a également corrigé une fuite d’informations et une faille de l’installateur. Cette dernière pouvait permettre à un attaquant d’obtenir davantage de privilèges sur la machine.

Google corrige 37 failles Chrome

La cadence augmente depuis plusieurs mois selon les chiffres cités par Google. Le 6 octobre, l’entreprise avait corrigé 247 failles dans Chrome. En juillet, elle avait corrigé près de 400 failles en une seule fois. Chrome 154 en avait ensuite comblé 108 en septembre. Google attribue cette accélération à l’usage de modèles d’intelligence artificielle pour repérer les bugs. Son agent Big Sleep a été développé avec Google DeepMind et l’équipe Project Zero. Cet outil se spécialise dans les vulnérabilités de type zero-day. Google indique que l’IA a permis de corriger 1 072 failles dans Chrome 149 et Chrome 150. Ce total dépasse celui des 23 versions précédentes réunies.

Deux mises à jour de sécurité sont actuellement déployées chaque semaine par Google pour suivre cette cadence. Sur les 37 failles corrigées dans cette version, 16 ont été signalées par Xinyang Ge. Ce chercheur travaille chez Anthropic, l’entreprise à l’origine de Claude. Google précise que ses recherches ont été « assistées par Claude ». Face au nombre de failles découvertes, Google a décidé de suspendre son programme de récompenses consacré aux bugs des logiciels à code ouvert. L’entreprise n’a pas découvert de preuves indiquant une exploitation de ces failles dans des cyberattaques. Le correctif concerne néanmoins plusieurs composants sensibles du navigateur, dont le réseau, V8 et le gestionnaire de mots de passe.

Chrome déploie deux correctifs hebdomadaires

La mise à jour se lance depuis le menu de Chrome. Il faut ouvrir la rubrique « Aide », puis sélectionner « À propos de Google Chrome ». Le navigateur télécharge alors automatiquement le correctif. Un redémarrage termine l’installation. Cette procédure concerne Chrome 155 sur Windows, macOS et Linux. Les 37 vulnérabilités corrigées comprennent sept failles critiques et 29 failles de gravité élevée. La mise à jour intervient une semaine après celle du 6 octobre, qui avait corrigé 247 failles. Google indique que Big Sleep a contribué à plusieurs corrections récentes. L’entreprise attribue aussi à l’IA 1 072 failles corrigées dans Chrome 149 et Chrome 150. Retrouvez d’autres analyses dans Signal IA.