|
|
Les navigateurs internet, des mini-systèmes d’exploitation hors de contrôle ?
Par Xavier Poli,
secuobs.com
Le 14/11/2008
Résumé : Les composants additionnels (extensions firefox, plugins adobe, etc.) des navigateurs Internet représentent aujourd'hui un vecteur d'attaque potentiel important de par les fonctions toujours plus nombreuses et complexes qu'ils permettent à ces navigateurs d'acquérir. - Lire l'article
Tout comme Saumil Shah ( Net-square - lien ), dans sa présentation « Browser Exploits – A new model for Browser Security » ( lien ) effectuée lors de la conférence EuSecWest 2008, les intervenants à la conférence Hack.lu ( lien ) Christophe Lenoir et Julien Devaux ont insisté lors de la leur sur le fait que les navigateurs internet deviennent de plus en plus complexes et de moins en moins protégés ; ce qui représentent par conséquent un vecteur de plus en plus important pour les attaques.
Plus que les navigateurs en eux-mêmes, ce sont surtout ici les composants additionnels des navigateurs les plus populaires qui sont visés ; Microsoft Internet Explorer ( lien ) et Mozilla Firefox ( lien ) pour ne pas les citer. On prendra en exemple les dernières failles sur l’extension Firefox, FireGPG ( voir sur secumail - lien ) ainsi que les vulnérabilités récentes relatives à Adobe Reader ( voir l’annuaire de la revue de presse - lien ).
Sans compter la possibilité pour un attaquant de modifier une extension en vue d'y rajouter du code malicieux puis la diffuser par différents biais ( Phishing > voir l'annuaire de la revue de presse - lien ) sans que cela ne puisse être nativement remarqué en absence de signature du code ( voir à ce sujet une récente discussion sur la liste de diffusion de l'Ossir - lien ).
Le fait est qu’à partir du moment où un composant additionnel est installé sur un navigateur, « tout » devient possible et imaginable. Ce composant hérite irrémédiablement des droits relatifs à son navigateur parent et il a ainsi la possibilité d’accéder à différentes libraires plus ou moins sensibles du système d’exploitation sous-jacent.
Comme l’avait déjà expliqué Saumil Shah en début d’année, les navigateurs sont en train de devenir les bureaux de demain ; ils peuvent dès à présent être assimilés à des systèmes d’exploitation à part entière pouvant se décomposer de la manière suivante : un moteur (noyau), des composants additionnels (drivers) et la possibilité d’exécution de codes par les utilisateurs (HTML/DHTML/Javascript).
Soit pour ce dernier élément, un « userland-like » où les XHR ActiveX et Javascript ( XMLHttpRequest - lien ) représentent les interfaces de communications ( sockets - lien ) tandis que les balises de type Object et Embed font office d’appels système ( syscalls - lien ).
Lors de sa présentation « Teflon: anti-stick for the browsers attack surface » à la conférence BA-Con 2008 ( lien ), Saumil Shah détailla une preuve de concept nommée Teflon, déjà évoquée dans les slides de la présentation « Browser Exploits – A new model for Browser Security » ( lien ) ; Teflon se présente comme une protection contre les exploits Javascript.
Pour Saumil, cette protection doit être effectuée via un filtrage des appels issus des actions effectuées par les différents composants additionnels des navigateurs ; cette protection ne nécessitant ainsi pas de désactiver, complétement ou partiellement, l'exécution des codes Javascript comme c’est le cas des solutions proposées actuellement. Pour obtenir plus de détails sur ce sujet, la présentation de Julien Lenoir et Christophe Devaux est disponible à l’adresse suivante ( lien )
- Article suivant : Sploit-Net un outil d'automatisation pour l'injection de code malveillant dans Microsoft .NET
- Article précédent : CERT Resiliency Engineering Framework un meta-modèle pour la gestion des risques et leurs conséquences
- Article suivant dans la catégorie Reportages : Vxclass ou la classification de codes malveillants par isomorphisme graphique
- Article précédent dans la catégorie Reportages : Une journée à l’intérieur de la mémoire des systèmes d’exploitation Microsoft Windows
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, microsoft, attaque, réseau, outil, vulnérabilité, audit, système, virus, internet, données, metasploit, présentation, linux, bluetooth, protocol, source, vista, scanner, réseaux, shell, rootkit, engineering, conférence, trames, paquet, téléphone, wishmaster, sysun, mobile, noyau, mémoire, botnet, https, rapport, libre, téléphones, google, patch, reverse, scapy, security, navigateur |
| Mini-Tagwall de l'annuaire video : | | | | security, vmware, biometric, virus, metasploit, windows, password, botnet, lockpicking, tutorial, attack, exploit, network, linux, source, crypt, iphone, server, secconf, shmoocon, conficker, engineering, virtual, ettercap, wimax, rootkit, wireshark, reverse, hackitoergosum, cisco, internet, hacker, systm, openssh, firewall, wireless, openbsd, openvpn, meterpreter, access, conference, arduino, knoppix, backtrack, brucon |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
