5/5 - (2 votes)

Bulletin de sécurité Google du 27 septembre 2023

Google corrige le cinquième jour zéro de Chrome activement exploité de 2023. Google a corrigé la cinquième vulnérabilité Zero Day de Chrome exploitée lors d’attaques depuis le début de l’année dans des mises à jour de sécurité d’urgence publiées aujourd’hui. “Google est conscient qu’un exploit pour CVE-2023-5217 existe dans la nature”, a révélé la société dans un avis de sécurité publié mercredi.

De multiples vulnérabilités ont été découvertes dans Google Chrome. Elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l’éditeur. Google indique que la vulnérabilité CVE-2023-5217 est activement exploitée. Le canal Stable a été mis à jour vers 117.0.5938.132 pour Windows, Mac et Linux, qui sera déployé dans les jours/semaines à venir.

CVE-2023-5217 : Le dépassement de tampon de tas dans l’encodage vp8 dans libvpx dans Google Chrome avant 117.0.5938.132 et libvpx 1.13.1 permettait à un attaquant distant d’exploiter potentiellement la corruption du tas via une page HTML contrefaite. (Gravité de sécurité de Chromium : élevée)


Chrome est un navigateur web propriétaire développé par Google basé sur le projet libre Chromium fonctionnant sous Windows, Mac, Linux, Android et iOS. Chromium est similaire à Chrome, mais ce dernier contient des mouchards ou pisteurs. Avec les applications Google comme Gmail, Google Pay et l'Assistant Google, Chrome vous aide à rester productif et à tirer le meilleur parti de votre navigateur. Chrome met tout en œuvre pour protéger vos données et votre vie privée en ligne. Les paramètres de confidentialité de Chrome permettent de personnaliser l'expérience de navigation en fonction de vos besoins. En février 2023, Google Chrome renforce la sécurité de la saisie des mots de passe avec l’authentification biométrique.


Dans le domaine de la sécurité informatique, une vulnérabilité Zero-Day (en français : Jour zéro) est une vulnérabilité informatique n'ayant fait l'objet d'aucune publication ou n'ayant aucun correctif connu. L'existence d'une telle faille sur un produit implique qu'aucune protection n'existe, qu'elle soit palliative ou définitive. La terminologie Zero Day ne qualifie pas la gravité de la faille : comme toute vulnérabilité, sa gravité dépend de l'importance des dégâts pouvant être occasionnés, et de l'existence d'un exploit, c'est-à-dire d'une technique exploitant cette faille afin de conduire des actions indésirables sur le produit concerné.
Les failles Zero-Day, souvent nommées "exploits" ne sont généralement pas utilisées dans les cyberattaques. L'objectif des attaquants est de tirer profit de ces vulnérabilités critiques en monnayant leur possible utilisation. Ce sont les grandes compagnies comme Microsoft ou Adobe ou encore les CES comme WordPress mais aussi les stockages des données dans le cloud qui sont la cible des cybermenaces de ces exploits. La découverte d'une faille critique est aussi rentable pour les hackers que l'exploitation d'un rançongiciel.


Les CERT (Computer Emergency Response Teams) sont des centres d'alerte et de réaction aux attaques informatiques, destinés aux entreprises ou aux administrations, mais dont les informations sont généralement accessibles à tous. Les tâches prioritaires d'un CERT sont multiples. La centralisation des demandes d'assistance à la suite des incidents de sécurité sur les réseaux et les systèmes d'informations. Le traitement des alertes et réaction aux attaques informatiques. L'établissement et maintenance d'une base de donnée des vulnérabilités. La Prévention par diffusion d'informations. La coordination éventuelle avec les autres entités.

A propos de l'auteur

Retour en haut