Comment un simple navigateur peut-il mettre vos données en péril? Le navigateur Arc, connu pour ses fonctionnalités de personnalisation innovantes, a récemment révélé une faille de sécurité majeure. L’une de ses fonctionnalités phares, nommée « Boosts », permet aux utilisateurs de personnaliser l’apparence des sites web comme bon leur semble. Mais ces personnalisations pourraient-elles devenir des portes d’entrée pour des pirates informatiques?
La société derrière Arc, Browser Company, a récemment admis que les Boosts pouvaient être exploités par des attaquants pour compromettre les systèmes des utilisateurs. Comment? En utilisant Firebase, une plateforme de soutien pour plusieurs fonctionnalités d’Arc. Un chercheur en sécurité, se faisant appeler « xyzeva », a découvert que le navigateur utilise un identifiant de créateur (creatorID) pour charger les Boosts sur un appareil. Et si cet identifiant pouvait être manipulé?
xyzeva a démontré que si un pirate crée un Boost contenant un logiciel malveillant, il lui suffirait de changer son creatorID pour celui de la victime ciblée. Résultat : à chaque visite de la victime sur un site via Arc, le malware se téléchargerait automatiquement. N’est-ce pas alarmant? De plus, obtenir ces identifiants n’est pas compliqué. Entre le partage d’invitations entre utilisateurs et la page publique des Boosts, les IDs sont facilement accessibles.
Le navigateur Arc, une innovation qui pourrait aussi être un risque de sécurité?
Heureusement, Browser Company a réagi rapidement. Avertie par xyzeva le 25 août, l’entreprise a corrigé le bug dès le lendemain avec l’aide du chercheur. Aucune exploitation de la vulnérabilité n’a été signalée, et aucune donnée d’utilisateur n’a été compromise. Mais que fait l’entreprise pour prévenir de futurs incidents similaires?
Parmi les mesures mises en place, on note le déménagement hors de Firebase, la désactivation par défaut du Javascript sur les Boosts synchronisés, l’établissement d’un programme de primes pour la découverte de bogues et l’embauche d’un nouvel ingénieur en sécurité senior. Ces précautions seront-elles suffisantes pour restaurer la confiance des utilisateurs?
Avec des risques potentiels aussi élevés, la course à la cybersécurité devient un enjeu majeur pour les navigateurs innovants. Arc peut-il assurément protéger ses utilisateurs sans freiner son élan de personnalisation? La question reste ouverte.
Source : Engadget
