Google a corrigé deux vulnérabilités zero-day dans son navigateur Chrome, la troisième fois en deux semaines que la société corrige une faille de sécurité Chrome qui est en cours d’exploitation.

Selon un Lundi tweet de Ben Hawkes, responsable de la division de recherche sur la vulnérabilité et l’exploitation du projet Zero de Google, CVE-2020-16009, lors du suivi de la première vulnérabilité, est un bogue d’exécution de code à distance dans V8, le moteur JavaScript open source de Chrome. Une deuxième faille de sécurité, CVE-2020-16010, est un débordement de tampon basé sur le tas dans Chrome pour Android. Hawkes a déclaré qu’il permettait aux attaquants d’échapper au bac à sable Android, suggérant que les pirates l’utilisaient peut-être en combinaison avec une vulnérabilité distincte.

Hawkes n’a pas fourni de détails supplémentaires, tels que les versions de bureau de Chrome qui étaient activement ciblées, les victimes ou la durée des attaques. Il n’était pas non plus clair si le même groupe d’attaque était responsable des trois exploits. La CVE-2020-16009 a été en partie découverte par un membre du groupe d’analyse des menaces de Google, qui se concentre sur le piratage soutenu par le gouvernement, ce qui suggère que les exploits de cette vulnérabilité peuvent être l’œuvre d’un État-nation. Project Zero a été impliqué dans la découverte des trois jours zéro.

Les mises à jour surviennent deux semaines après que Google a corrigé CVE-2020-15999, un vulnérabilité activement exploitée dans Freetype, que Chrome et d’autres applications non-Google utilisent pour rendre les polices. Pour gagner des capacités d’exécution de code, les pirates combinaient des exploits avec un autre qui ciblait bogue actuellement non corrigé dans Windows 10 et Windows 7.

Les versions de bureau de Chrome se mettent généralement à jour automatiquement. Cela signifie que, pour la plupart des utilisateurs, les correctifs pour CVE-2020-16009 et CVE-2020-15999 ont déjà été installés, tant qu’ils ont récemment redémarré leur navigateur. Chrome pour Android est mis à jour via Google Play. L’avis de Chrome Android indique que le correctif est incorporé dans la version 86.0.4240.185. L’avis a poursuivi en disant que la mise à jour serait disponible «au cours des prochaines semaines», mais le téléphone que j’ai vérifié (un Pixel) l’avait déjà installé.