Résumé :
Alors que l'environnement des menaces réseau devient de plus en plus complexe et que les audits du code sous-jacent s'intensifient, les deux principaux navigateurs Web au monde, Google Chrome et Firefox Mozilla Firefox, ont récemment lancé les dernières versions contenant un grand nombre de correctifs de sécurité. Les deux navigateurs ont corrigé un total de 115 défauts du système et risques de sécurité au cours de ce cycle de mise à jour, déclenchant de nouvelles discussions animées au sein de la communauté technologique sur le phénomène de « fatigue des correctifs » dû aux mises à niveau à haute fréquence.
Au cours de cette série de maintenance de sécurité à grande échelle, Mozilla a effectué un dépannage intensif pour son navigateur Firefox et corrigé des dizaines de risques potentiels et de vulnérabilités logiques dans le moteur de rendu réseau Gecko, l'environnement d'exécution JavaScript et le pipeline de décodage multimédia, y compris plusieurs failles à haut risque qui pourraient être exploitées par des attaquants pour déclencher l'exécution de code à distance ou une fuite de données entre sites. Dans le même temps, l'équipe Google Chrome et la communauté open source Chromium derrière elle ont également complété une énorme liste de correctifs, en se concentrant sur la suppression d'un certain nombre de vulnérabilités de sécurité à risque élevé et moyen impliquées dans le moteur de rendu Blink, le module d'exécution de script V8 et le sandbox d'autorisation sous-jacent, y compris l'accès hors limites de la mémoire, l'utilisation après libération et la confusion des types.
Ces dernières années, afin de faire face aux attaques d'exploitation de vulnérabilité Zero Day de plus en plus subtiles, les principaux fabricants de navigateurs ont généralement compressé le cycle d'itération des versions et adopté un mécanisme d'envoi de correctifs incrémentiel à extrêmement haute fréquence. Cependant, les invites fréquentes de redémarrage et de mise à jour, l'installation silencieuse en arrière-plan et d'éventuels problèmes occasionnels de compatibilité d'extension ont généralement donné naissance à une mentalité dite de « fatigue des correctifs » parmi les administrateurs techniques et les utilisateurs ordinaires, et ont même conduit certains utilisateurs à choisir de reporter ou d'ignorer les invites de mise à jour du système pendant une longue période.
Les experts en cybersécurité ont mis en garde à ce sujet, soulignant que les navigateurs Web modernes, en tant que premier portail numérique vers Internet, effectuent l'analyse de code réseau externe complexe et les interactions réseau les plus fréquentes, et ont toujours été le principal point de rupture permettant aux pirates informatiques malveillants de créer des chaînes d'attaque. Bien que l'ampleur des réparations pour les plus de 100 vulnérabilités bloquées conjointement par Chrome et Firefox cette fois soit énorme, la plupart d'entre elles constituent des lignes de défense techniques clés pour prévenir les problèmes avant qu'ils ne surviennent. Une fois désassemblées et analysées à l'envers par des attaquants malveillants et transformées en charges utiles d'exploit automatisées, les anciennes versions des clients qui n'ont pas suivi les correctifs en temps opportun seront directement exposées au risque d'exposition.
Les principales agences de sécurité recommandent vivement à tous les utilisateurs de Windows, macOS et Linux de vérifier activement et de finaliser le déploiement des mises à jour via le menu « À propos » intégré du navigateur dès que possible afin de garantir que l'environnement de navigation du réseau local s'exécute sur la base de sécurité la plus récente afin de résister aux menaces potentielles d'injection de code, de dérogation aux autorisations et de vol de données sensibles.
Commentaires