Google a corrigé le deuxième jour zéro de Chrome en une semaine

Suite à un correctif zero-day de haute gravité, Google a corrigé une autre vulnérabilité zero-day grave dans son navigateur Chrome. Les utilisateurs doivent mettre à jour leurs appareils respectifs pour recevoir le correctif.

Un autre Google Chrome Zero-Day a reçu un correctif

Google vient de publier une autre mise à jour majeure de Chrome contenant plusieurs correctifs de sécurité quelques jours après avoir corrigé le bogue de confusion de type attaqué. Avec la dernière version de Chrome 112.0.5615.137, Google a également déployé un correctif zero-day aux côtés d’autres correctifs.

Comme mentionné dans son consultatif, la dernière version de Chrome inclut huit correctifs de sécurité différents. À partir de ceux-ci, la vulnérabilité zero-day inclut un débordement d’entier de haute gravité dans Skia de Chrome – une bibliothèque graphique 2D qui sert de moteur graphique pour le navigateur.

Bien que Google n’ait pas divulgué de détails explicites sur la faille pour éviter les exploits potentiels. Pourtant, il a confirmé avoir détecté une exploitation active de la faille CVE-2023-2136.

Cette vulnérabilité zero-day a d’abord attiré l’attention de Clément Lecigne du Threat Analysis Group de Google.

Outre cette vulnérabilité, Google a corrigé trois autres vulnérabilités très graves. Parmi ceux-ci, deux incluent un accès mémoire hors limites dans l’API Service Worker (CVE-2023-2133 et CVE-2023-2134). Ces vulnérabilités ont attiré l’attention du chercheur Rong Jian de VRI, chacun remportant une prime de 8 000 $ pour le rapport.

Le troisième correctif de vulnérabilité corrigeait une faille d’utilisation après libération dans Chrome DevTools (CVE-2023-2135). Cette vulnérabilité a attiré l’attention de Cassidy Kim d’Amber Security Lab, OPPO Mobile Telecommunications Corp. Ltd. Le signalement de cette vulnérabilité a valu à Kim une prime de 4 000 $.

Parallèlement à ces trois bogues importants, la dernière version de Chrome a également résolu un débordement de tampon de tas de gravité moyenne dans Chrome SQLite. Le signalement de cette faille a permis aux chercheurs, Nan Wang et Guang Gong du 360 Vulnerability Research Institute, de gagner une prime de 1 000 $.

Google n’a pas précisé les quatre autres correctifs de vulnérabilité inclus dans cette mise à jour de Chrome. Au lieu de cela, la déclaration d’une ligne dans son avis s’adressait simplement à certains correctifs à la suite de travaux de sécurité interne.

Le géant de la technologie a automatiquement déployé ces correctifs de sécurité avec le canal stable stable et étendu de Chrome 112.0.5615.137/138 pour Windows et 112.0.5615.137 pour Mac, promettant bientôt une version corrigée pour les utilisateurs de Linux.

En outre, il a corrigé les mêmes vulnérabilités de sécurité avec Google Chrome pour Android version 112 (112.0.5615.135/.136), comme confirmé via un autre consultatif. Les utilisateurs d’Android recevront cette mise à jour depuis le Play Store officiel.