CVE-2024-2887

Confusion de type dans Chrome exploitée pour l’exécution de code

Une vulnérabilité de confusion de type, identifiée sous la référence CVE-2024-2887, affecte Google Chrome dans les versions antérieures à 123.0.6312.86. La faille, découverte lors de la compétition Pwn2Own Vancouver 2024, peut être déclenchée par un attaquant distant via une page HTML spécialement conçue.

Points clés:

• Nature de la vulnérabilité: Confusion de type dans WebAssembly.
• Impact potentiel: Exécution de code arbitraire par un attaquant distant.
• Conséquences de l’exploitation: Lecture/écriture arbitraire dans le bac à sable mémoire de V8, obtention d’adresses d’objets JavaScript et manipulation de pointeurs d’objets.
• Cause racine: Traitement des groupes de types récursifs dans WebAssembly, entraînant le dépassement du nombre maximal de types de tas déclarés.

Vulnérabilité:

• CVE: CVE-2024-2887

Recommandations:

• Mise à jour du navigateur: Il est fortement recommandé de mettre à jour Google Chrome vers la version 123.0.6312.86 ou une version ultérieure pour corriger cette vulnérabilité.

Source