Google vient de confirmer la deuxième pochette de mises à jour de sécurité pour le navigateur Chrome en juillet. La version 103.0.5060.134 pour tous les utilisateurs Windows, Mac et Linux sera disponible dans les prochains jours. Bien que cette mise à jour soit déployée automatiquement, il est conseillé aux utilisateurs qui ne redémarrent pas régulièrement leur navigateur de vérifier manuellement et de forcer l’activation du correctif de sécurité.
Mettez à jour votre navigateur Google Chrome dès que possible
Davey WinderAu total, cette mise à jour vers Chrome 103.0.5060.134 résout 11 problèmes de sécurité. Cinq d’entre eux ont été découverts par des audits de sécurité internes et le « fuzzing », un processus automatique à la recherche d’exceptions lors de la fourniture d’entrées inattendues ou aléatoires. Les six autres problèmes sont des vulnérabilités découvertes par les chercheurs en sécurité. Dissemblable la première mise à jour de Chrome ce mois-ci, aucune n’est zéro jour où les attaquants sont connus pour les exploiter déjà dans la nature. Il semblerait également qu’il n’y ait pas de correctifs de sécurité dans la mise à jour Android Chrome annoncée en même temps.
Vérifiez le numéro de version pour vous assurer que Google Chrome est sécurisé
Davey WinderCinq des six vulnérabilités sont considérées comme ayant un impact élevé, la sixième étant un problème à faible impact. Au total, 33 500 $ en primes de bogues ont été attribués aux chercheurs qui ont révélé les vulnérabilités. Quelque 23 000 $ de cette somme sont allés à seulement deux chercheurs, dont l’un, étonnamment, était pour cette vulnérabilité à faible impact.
Comme d’habitude, il y a peu d’informations détaillées disponibles actuellement. Google retient raisonnablement cela jusqu’à ce qu’une majorité de la base d’utilisateurs ait eu l’occasion de mettre à jour. Voici ce que nous savons :
- 16 000 $ ont été attribués à un chercheur anonyme pour une utilisation de haut niveau après la vulnérabilité gratuite CVE-2022-2477 en vue invité.
- 7 500 $]a été décerné à ‘triplepwns’ pour une utilisation de haute qualité après la vulnérabilité gratuite CVE-2022-2478 en PDF.
- 3 000 $ ont été attribués à un chercheur anonyme pour une vulnérabilité de haut niveau CVE-2022-2479 impliquant une validation insuffisante d’entrées non fiables dans des fichiers
- Deux autres vulnérabilités très bien notées, CVE-2022-2480 et CVE-2022-2481, de Sergei Glazunov (membre de l’équipe Google Project Zero) et YoungJoo Lee respectivement, n’ont pas encore reçu de prime. La première est une utilisation après free dans l’API Service Worker et la seconde une utilisation après free dans les vues.
- 7 000 $ ont été attribués à Chaoyuan Peng pour l’utilisation peu cotée après la vulnérabilité gratuite CVE-2022-2163 dans l’interface utilisateur et la barre d’outils cast.
