Cet après-midi, Google a alerté les développeurs de Chromium sur la possibilité qu’ils soient exposés à des logiciels malveillants utilisés pour les tests en raison d’une « surveillance » interne.
La nature open source de Chromium signifie que n’importe qui peut utiliser le code pour créer son propre navigateur. Ce référentiel de code source Chromium du 9 septembre au 18 novembre contenait « des documents de test Office qui incluaient des logiciels malveillants non protégés ». Google a informé les développeurs Chromium de cette erreur dans un e-mail vendredi après-midi.
Ces échantillons ont été déposés par inadvertance dans le référentiel sans obscurcissement lors du test de la fonction de sécurité pour détecter la présence de logiciels malveillants distribués via des macros dans les documents Office. Ces fichiers de test n’étaient inclus dans aucune version de Chrome.
Les chercheurs en sécurité ont besoin d’utiliser des exemples de fichiers malveillants à des fins de test automatisé de détection. La meilleure pratique dans ces cas est d’obscurcir ces fichiers afin qu’ils ne puissent pas être accidentellement ouverts ou exécutés. Dans ce cas, nous ne l’avons pas fait, exposant potentiellement les développeurs Windows à une infection accidentelle s’ils ouvraient eux-mêmes ces fichiers (c’est-à-dire en accédant au dossier d’extraction de la source Chromium et en double-cliquant sur le document Office).
Google dit explicitement que les utilisateurs de Chrome et d’autres navigateurs basés sur Chromium, par exemple Microsoft Edge, ne sont pas concernés. Plus précisément, « Chromium/Chrome n’inclut pas et n’a jamais inclus aucun de ces fichiers, donc les utilisateurs de ces produits ne courent aucun risque. »
L’équipe Chromium a plutôt fait cette divulgation pour les développeurs. Cela dit, le malware Windows avait cinq ans et les fichiers de test .doc et .docx en question doivent être ouverts manuellement pour provoquer une infection.
3. Nous avons confirmé que le malware lui-même est inactif au moment d’écrire ces lignes.
4. Les tests utilisant ces fichiers ne déclenchent pas le malware, donc une infection accidentelle via des tests en cours n’aurait pas eu lieu[r]éd.
5. Le référentiel Chromium synchronisé après le 18 novembre 2021 ne présente aucun risque pour les développeurs.
En tant que tel, la société estime qu’il est « extrêmement improbable qu’un contributeur ait été infecté par ce malware » et qu’il n’y a eu aucun « rapport d’un contributeur infecté en ouvrant ces fichiers ».
Nous nous excusons pour l’oubli de notre part et examinons nos processus pour nous assurer que les fichiers binaires potentiellement dangereux déposés dans le référentiel sont correctement protégés contre une ouverture accidentelle.
En savoir plus sur Chrome :
FTC : Nous utilisons des liens d’affiliation automatique qui génèrent des revenus. Suite.
Consultez 9to5Google sur YouTube pour plus d’informations :
