Que vient-il de se passer ? Une vulnérabilité de navigateur affectant Chrome, Firefox et Safari a été découverte suite à une version actuelle de l’application logicielle Chrome. Les concepteurs de Google ont déterminé l’attaque basée sur le presse-papiers, qui permet aux sites Web destructeurs d’écraser le contenu du presse-papiers d’un utilisateur lorsque l’utilisateur ne fait rien d’autre que d’aller sur un site Web compromis. La vulnérabilité affecte également tous les navigateurs Internet basés sur Chromium, mais semble être plus répandue dans Chrome, où un geste de l’utilisateur utilisé pour copier du contenu est actuellement signalé comme défectueux.
Le développeur de Google, Jeff Johnson, a décrit comment la vulnérabilité peut être déclenchée par de nombreuses méthodes, qui accordent toutes l’approbation de la page pour écraser le contenu du presse-papiers. Dès que cela est accordé, les utilisateurs peuvent être impactés en déclenchant activement une action de coupe ou de copie, en cliquant sur des liens dans la page, ou même en faisant quelque chose d’aussi simple que de faire défiler vers le haut ou vers le bas sur la page en question.
Johnson a expliqué le bogue, mentionnant que si les utilisateurs de Firefox et Safari doivent activement copier du matériel dans le presse-papiers à l’aide de Control C ou ⌘-C, les utilisateurs de Chrome peuvent être affectés en voyant simplement une page destructrice pendant pas plus d’une fraction de seconde.
L’article de Johnson fait référence à des exemples de vidéos de Šime, un développeur de matériel se concentrant sur le contenu adapté aux développeurs Web. Les démonstrations de Šime exposent simplement la rapidité avec laquelle les utilisateurs de Chrome peuvent être touchés, la vulnérabilité étant activée simplement en basculant entre les onglets actifs du navigateur Web. Indépendamment de la durée ou du type d’interaction de l’utilisateur, le site nuisible modifie immédiatement le contenu du presse-papiers avec tout ce que l’acteur du danger décide de fournir.
Le site de blog de Johnson propose des détails techniques expliquant simplement comment une page peut obtenir l’autorisation de composer dans le presse-papiers du système. Une méthode utilise une commande désormais obsolète, document.execCommand.
Une autre méthode bénéficie de l’API navigator.clipboard.writetext plus récente, qui a la capacité de composer n’importe quel texte dans le presse-papiers sans aucune action supplémentaire. Le site de blog de Johnson comprend une démonstration du fonctionnement des deux approches de la même vulnérabilité.
Bien que la vulnérabilité puisse ne pas sembler dommageable à première vue, les utilisateurs doivent rester familiarisés avec la manière dont les acteurs malveillants peuvent utiliser l’échange de matériel pour se servir de victimes imprudentes. Un site trompeur peut remplacer une URL précédemment copiée par une autre URL frauduleuse, conduisant involontairement l’utilisateur à des sites Web supplémentaires conçus pour capturer des informations et compromettre la sécurité.
La vulnérabilité fournit également aux acteurs de la menace la possibilité de changer les adresses de portefeuille de crypto-monnaie copiées conservées dans le presse-papiers avec l’adresse d’un autre portefeuille géré par un tiers nuisible. Une fois que la transaction a effectivement eu lieu et que les fonds sont envoyés au portefeuille trompeur, l’utilisateur victime n’a généralement que peu ou pas de capacité à retrouver et à récupérer ses fonds.
Selon The Hacker News, Google est conscient de la vulnérabilité et devrait libérer une place dans un proche avenir. Jusque-là, les utilisateurs doivent faire preuve de prudence en empêchant l’ouverture de pages à l’aide de matériel copié dans le presse-papiers et vérifier la sortie de leur matériel copié avant de poursuivre toute activité susceptible de compromettre leur sécurité personnelle ou financière.
Toute l’actualité en temps réel, est sur L’Entrepreneur