Google expose une autre faille de sécurité zero-day dans Edge alors que Microsoft manque la date limite de correction

La sécurité du navigateur est difficile et il semble parfois plus facile de casser quelque chose que de le réparer.

L'ennemi juré de Microsoft, Google Project Zero, a une fois de plus rendu publique une faille dans le navigateur Edge de Microsoft avant que l'entreprise puisse proposer un correctif.

Le problème est lié au compilateur Just In Time de Microsoft pour Javascript, qui n'est pas, de par sa conception, protégé par Arbitrary Code Guard (ACG) dans Microsoft Edge. Il s'avère que si un processus de contenu est compromis et que le processus de contenu peut prédire à quelle adresse le processus JIT va appeler VirtualAllocEx() ensuite, le processus de contenu peut :

• Démapper la mémoire partagée mappée ci-dessus à l'aide de UnmapViewOfFile()
• Allouer une région de mémoire inscriptible sur la même adresse que le serveur JIT va y écrire et y écrire une charge utile qui sera bientôt exécutable.
• Lorsque le processus JIT appelle VirtualAllocEx(), même si la mémoire est déjà allouée, l'appel réussira et la protection de la mémoire sera définie sur PAGE_EXECUTE_READ.

Google attribue à l'exploit une note moyenne et en a informé Microsoft en novembre 2017. Microsoft a cependant eu du mal à résoudre le problème, manquant à la fois le délai de divulgation de 90 jours et le délai de grâce supplémentaire de 14 jours demandé par l'entreprise.

Microsoft espère cependant disposer d'un correctif d'ici le Patch Tuesday du mois prochain, mais je soupçonne que les utilisateurs d'Edge n'ont pas grand-chose à craindre, étant donné sa faible part de marché actuelle, ce qui signifie que, contrairement au Project Zero de Google, la plupart des pirates chercheront ailleurs.

Lire tous les détails sur le blog de Google ici.

Via Neowin.net