Google présente un ensemble de 11 failles de sécurité de type Zero Day

L’équipe de spécialistes de recherche de faille de sécurité de Google le Project Zero est dans une lancée depuis certains moments pour décrypter un ensemble de piratages informatiques qui ont compromis durant l’année 2020, plusieurs systèmes d’exploitation mobile et ordinateur.

À savoir Android, Windows et iOS. Parmi cette vulnérabilité détectée par les chercheurs du Project zéro, 3 de ces failles de sécurité pouvait offrir la possibilité à des pirates informatiques bénéficier des actions à travers le navigateur de iOS safari ou encore de Google Chrome. Elles sont à leur suite près de 4 failles de sécurité de nature critiques qui furent décrites par les chercheurs.

Cet article va aussi vous intéresser : Une faille de type « zero-day » découverte sur le navigateur Chrome de Google

C’est en début d’année que ces chercheurs décident de commencer l’explication de cette faille de sécurité. Cela suite à une observation d’une vague d’attaques informatiques sur plusieurs systèmes d’exploitation à la fois. Tout d’abord, cela commencé par l’explication de 4 failles de sécurité de nature critique à la base de cette chaîne d’attaque informatique à savoir :

– CVE-2020-6428 (TurboFan dans Chrome) ;

– CVE-2020-0938 ;

– CVE-2020-1020 (Font dans Windows) ;

– CVE-2020-1027 (WindowsCSRSS).

Récemment les chercheurs de Google nous livrent des explications sur les autres failles :

« Les vulnérabilités couvrent un spectre assez large de problèmes, d’une faille JIT moderne à d’importants problèmes de cache relatifs à des bugs de police », a détaillé la chercheuse en sécurité du Google Project Zero, Maddie Stone « Dans l’ensemble, chacun de ces exploits a fait l’objet d’un travail de compréhension approfondie ». Elle ajoute par ailleurs : « Parmi les 7 dernières failles analysées, la CVE-2020-15999 s’est montrée particulièrement redoutable, utilisant une méthode d’exploit jusqu’alors jamais observée par l’équipe de chercheurs de Google grâce à des méthodes d’offuscation variées ayant nécessité beaucoup de temps pour les comprendre. ».

Parmi les vulnérabilité découverte, il y a celles qui furent par la suite passer au crible par les spécialistes du géant américain en 4 couleurs. Ce sont notamment :

– CVE-2020-17087 (débordement de mémoire tampon Windows dans cng.sys) ;

– CVE-2020-16009 (Chrome TurboFan type confusion) ;

– CVE-2020-16010 (dépassement de mémoire tampon Chrome pour Android) ;

– CVE-2020-27930 (lecture/écriture dans la stack arbitraire de Safari via polices Type 1) ;

– CVE-2020-27950 (divulgation de mémoire noyau iOS XNU Kernel dans des messages mach) ;

– CVE-2020-27932 (iOS type confusion au niveau noyau).

Dans leur enquête, sécurité informatique de Google en découvert qu’il existait deux serveurs qui ont permis aux pirates informatiques d’activer leur exploit à travers une attaque appelée watering hole (point d’eau). La première qui a été active sur une durée d’une semaine ciblait principalement les systèmes Windows et iOS.  La seconde, attaque de nature opérationnelle, qui a duré 36 heures visait exclusivement les systèmes Android.

« Au total, nous avons collecté: 1 chaîne d’attaque complète ciblant Windows 10 entièrement corrigée avec Google Chrome, 2 chaînes d’attaque partielles entièrement corrigées ciblant 2 terminaux Android 10 différents avec Google Chrome et le navigateur Samsung, et des exploits RCE pour iOS 11-13 et un exploit d’escalade de privilèges pour iOS 13 » souligne Maddie Stone. « Les terminaux sous iOS, Android et Windows étaient les seuls que nous avons testés alors que les serveurs étaient encore actifs. L’absence d’autres chaînes d’exploitation ne signifie pas que ces chaînes n’existaient pas », ajoute-elle.

Accédez maintenant à un nombre illimité de mot de passe :