The diary of EBArtSoft

C'est vraiment dommage quand même parce que chrome est rapide léger et quand on laisse la fenêtre réduite et qu'on la rappelle plusieurs heures après, le contenu s'affiche immédiatement et ceux pour tous les onglets (comparé à IE et FF y a pas photo).

Espérons qu'ils feront quelque chose pour blinder ce truc parce que me faire charger une dll tierce sans alerte ni rien ça ne donne pas envie de faire autre chose que de le lancer juste pour le tester.

Euh... sans vouloir être méchant je trouve que ta faille n'en est pas vraiment une...

1/ tu peux aussi très bien avoir une dll qui est un vrai-faux plugin pour Firefox et faire la même chose, dans ce cas là, tu fais quoi ?

2/ comment tu fais pour lister les processus de chrome ? En exécutant un binaire sur le poste du client ? Ah bah donc dans ce cas, tu as déjà accès au poste du client...

3/ une fois que tu as le "channel" en cause, il te faut encore exécuter un binaire (celui de chrome ce coup-ci), ce qui implique également pas mal d'accès au poste du client.

Et puis faire un PoC, ce n'est pas pour "qu'on leur mache le travail", ça sert également à prouver (comme son nom l'indique) que ta faille est réellement exploitable (à distance dans ton cas, puisque tu parle de "page web soigneusement redigée").

A defaut d'un PoC complet, une méthode qui explique comment faire, et à distance, et pas juste un "Le numero de channel peut être recuperé en listant les processus de chrome !".

Et je suis un peu comme Saint Thomas : je ne crois que ce que je vois.

Enfin, c'est ce que font tous les découvreurs de failles qui la postent sur une mailing list digne de ce nom : bugtraq. Et si tu es confiant à propos de ta faille, tu peux toujours l'envoyer sur bugtraq@securityfocus.com ça permettra à d'autres de s'amuser également. Et puisqu'elle est si grave (la faille, pas la liste) et qu'elle n'est pas encore passée sur cette liste, elle y a complètement sa place !

Saint Thomas (aka juploj) : vu que tu as l'air de prendre l'histoire en route, voici un exemple basé sur les précédents posts de EB :

Si tu es sous vista, que tu as FF et que tu as le plug in divx installé, ouvre une invite de command et lance ça :

"c:\users\TONUSER\appdata\local\google\chrome\application\chrom

e.exe" --type=plugin --channel=0000.0000000.000000000 --plugin-path="C:\Program

Files\Mozilla Firefox\plugins\npDivxPlayerPlugin.dll"

Et là, ho magie, chrome ne m'a rien demandé et il éxécute la dll avant même d'ouvrir le navigateur. En plus j'ai droit à une belle erreur qui prouve que c'est bien la dll a été lancée. (il cherche à lancer une autre dll que je n'ai visiblement pas, ouais parce que une dll elle peut lancer d'autres dll hein )

(Mais la dll en question c'est pas bien important, tu peux essayer avec d'autres dll sur ta machine. Et si tu sais faire, tu te fais une dll et tu test avec et tu verras que tu peux la lancer sans rien demander)

Tu veux tester un autre truc :

"c:\users\TONUSER\appdata\local\google\chrome\application\chrome.exe" --type=plugin -- channel=0000.0000000.000000000 --plugin-path="C:\Windows\System32\setver.exe"

Et là... c'est le drame

(Pour les 2 exemples, change TONUSER par le nom d'utilisateur de ta session)

Imagines un petit malware qui s'installerait et qui se logerait dans ton chrome sans rien demander. J'ai déjà vu un tas de machines de neophites, généralement elles sont remplient de trucs plus louches les uns que les autres alors imagine si un petit truc annodin dans le lot viendrait loger une dll malsaine dans chrome, tu mettrais ton N° de carte bleue pour régler un achat sur un site via chrome en connaissant ce danger ?

De ton point de vue c'est pas une faille, du mien c'est un porte d'entrée avec la porte grande ouverte.

Après ça, si tu ne vois pas de problème... bah je ne vois pas quoi te dire.

Non mais sinon, vous l'avez reporté le bug/la faille ? Parce que si personne leur dit, ils vont pas forcément le trouver tout seul hein.

Oui je l'ai remonté via des contacts dès le début.

@Nix : Je n'ai pas pris l'histoire en route, mais dans un précédent billet, il disait "Le numero de channel peut être recuperé en listant les processus de chrome !" (qui correspond au paramètre --channel).

J'en ai donc déduit que la faille n'était pas si exploitable que cela.

J'ai testé les exemples que tu donnes, j'ai bien une erreur, oui.

Maintenant, si j'ai un malware (pour reprendre ton exemple), je suis déjà mal barré :

1/ il peut déjà avoir installé un keylogger

2/ il peut déjà avoir installé une backdor

Et puis si ça c'est une faille, alors on peut également considérer que les ActiveX d'IE sont une faille du même genre.

Je m'exlique : à mon école, on avait un projet où le but était de créer un virus furtif et il devait pouvoir accéder à un serveur à l'extérieur de la machine, laquelle était protégée par un firewall (pas un firewall matériel plus loin, un logiciel directement sur la machine, ce qui représente une grande partie du parc informatique aujourd'hui). Et donc, une des manière de sortir sur le réseau, sans alerter le firewall était de créer un ActiveX spécial qui se lance tout seul au lancement d'un IE (je n'ai plus les détails en tête, mais l'idée est là). C'est le même genre de faille que celle de Chrome présentée ici, et pourtant, personne ne dit rien sur les ActiveX...

Pour finir, je me répète : que si tu as besoin d'un programme qui soit installé ou exécuter sur la machine cliente, c'est que tu y as accès et que donc cette faille ne t'es pas vraiment très utile... Si ?

De mon point de vue, cette faille n'est pas plus dangereuse que d'autre et l'est moins que celle qui est exploitable directement en ligne.

"à mon école", "je suis déjà mal barré" etc... Mais arrêtez de regarder ce qui se passe à vos pieds et dans votre nombril, essayez de regarder ce qui se passe chez des gens qui pigent rien à l'informatique. Toi comme moi, on a beaucoup moins de chance de se faire avoir par des logiciels malicieux. Je te parle de ta voisine qui pourrait être ta grand mère qui elle ne saura prendre aucune précaution (Bon ok, aujourd'hui, il y a peu de chance qu'elle installe Chrome toute seule, cela règle en partie le pb... Mais c'est pas si sûr car je ne saurait pas étonné que google passe des accords avec des constructeurs pour pré-installer son navigateur comme c'est déjà le cas avec la google toolbar. Mon dernier portable était équipé de la google toolbar...Alors de là à faire pré-installer chrome et c'est surement l'un des buts de chrome pour google. Cela sera à mon avis l'un des seuls moyens pour google de grignoter des parts à IE que Firefox n'arrive pas encore à prendre) .

Bref des machines à essayer de nettoyer poluées par des saloperies en tout genre j'en eu plein dans les mains, des gens de ma familles, des voisins, des amis etc...

Si tu avais déjà eu entre les mains des machines comme ça, tu te rendrais compte du potentiel qu'ouvre chrome pour les petits malins qui créés ces malwares tenaces...

Si manu a pointer ce problème du doigt c'est pour mettre en garde car il y a vu un vrai problème et je le rejoins à 200%.

Quand on est développeur on peut faire plein de belles choses mais on est les 1ers à voir les mauvaises applications que l'on peut faire d'une porte ouverte comme celle là.

Au final, une simple validation (comme le fait IE ou FF à l'install d'un plug in) suffirait à éviter les problèmes, on peut imaginer une boîte de dialogue du genre :

"Attention un nouveau plug in va être éxécuter

[Autoriser cette fois] [Autoriser toujours] [Annuler]"

Cela leur éviterait de revoir toute leur architecture.

Bref c'est un dialogue de sourd dingue et je n'insisterai pas plus.

Attends, là, tu me parles d'une machine où il y a déjà un malware (puisque c'est lui qui se loge dans Chrome), et je te dis que dans un cas comme cela (que ça soit ton pc, le mien, celui de ta/ma voisine ou de ta/ma grand-mère ne change pas grand chose), qu'il y ait Chrome ou pas (et qu'il ait sa faille ou pas), et bien ça ne change plus grand chose : tu as un malware, il a juste une porte de plus, Chrome, mais vu qu'il est déjà présent, il a déjà fait (ou va faire) du mal.

Et quand je parlais de _mon école_, je prenais un exemple où des gentils programmeurs ont pour but de créér un virus (un malware en somme), et une des pistes pour qu'il soit furtif était de créer un ActiveX qui s'insère tout seul dans IE, sans demander ou faire demander de confirmation. On est donc face au même problème que Chrome qui ne vérifie pas les plugins.

En effet, c'est un dialogue de sourd (ou d'aveugle)... Quand je lis ta première phrase, j'ai vraiment l'impression que tu n'a pas lu le reste de la phrase, après "à mon école".

Quant à la vérification des plugins que tu propose, à l'instar de Firefox ou IE, ça ne me semble pas être le même problème : d'un côté, on parle d'installer (IE, FF) un plugin, donc via le browser, de l'autre (Chrome), on le fait charger furtivement par un logiciel. Et je suis quasiment sûr que si tu prends un autre logiciel (n'importe lequel) qui permet de charger des dll et que tu lui en met une qui fait du mal (comme dans l'exemple de EBArtSoft), il se passera la même chose. Je n'ai ni l'envie, et encore moins le temps de tester...

Aller, si, un petit test rapide avec Firefox (puisqu'il faut faire comme lui) : je récupère un .xpi avec un autre navigateur (testé avec GooglePreview, TimeTracker et ColorfulTabs), je l'extrait dans le répertoire qu'il faut dans mon profile Firefox. J'ai donc simulé le malware qui s'installe, de la même manière qu'il aurait copié la dll dans le répertoire des plugis de Chrome, jusque là tu es d'accord ? Ensuite, je lance Firefox et... ah bah mon plugin est installé et Firefox ne me dit rien. En fait, si, sur les 3 tests que j'ai fait, une fois il m'a dit "One new addon has been installed", en ouvrant la fenêtre des addons. Je suis donc face au même problème qu'avec Chrome ! Firefox ouvre donc "un gouffre" de la même manière, non ?

OK t'as gagné t'es le plus fort, Je ne fais pas un concours mais visiblement tu en fais un, alors bravo tu as gagné. Et je te laisse le dernier mot si tu souhaites rajouter une couche, moi ça me fatigue.

Eh bien moi qui suis à cheval sur la sécurité et qui suis aussi très très intéressé par ce sujet, je peux AFFIRMER que c'est une énorme faille de ne pas avertir l'utilisateur qu'un plugin va être chargé en mémoire. Pour en revenir aux ActiveX, à l'époque (il n'y a pas si longtemps que ça) IE les exécutait sans rien demandé. Cette FAILLE à été corrigée et IE demande à présent si l'utilisateur veut charger l'ActiveX.

En sécurité, un programme doit avertir l'utilisateur de toutes actions qui impliquerait une application tierce. Surtout que si la dll est chargée par chrome, il y a de forte chance que la mémoire ne soit pas cloisonnée.

Le pire est que la dll peut être exécutée depuis le réseau !!!!!

Imaginez une faille quelconque d'un logiciel tierce qui permettrait de modifier uniquement les raccourcis (j'en ai déjà vu). Là, c'est le drame. Téléchargement de la dll, compromission de la machine,etc. sans même que l'utilisateur l'aie remarqué.

De plus, comme c'est un programme validé par l'utilisateur. Même un IDS logiciel installé ne remarquerait rien. aucun hook sur processus, etc...

En tout cas, c'est proprement SCANDALEUX que google ne fasse rien mais ils sont sûrement plus occupé à faire du marketing.

Je rajouterai que ce n'est pas parce que firefox ne fait pas de msg d'avertissement que ce n'est pas un problème....

Si tu as réussi à installé un plugin firefox sans message d'avertissement, c'est aussi risqué à mes yeux...

Personnellement, je ne connais pas le système de plugin firefox mais étant donnée que c'est des .xpi, je suis quasi sûr que tu ne peut pas faire autant de dégât qu'avec un DLL !!!

UNE DLL....tout est dit

@white_mage je n'ai pas dit que ce n'était pas un problème que FF n'affiche pas d'avertissement. J'ai juste relevé parce que c'est le _même problème_ et que personne n'en fait tout un plat comme EBArtSort et Nix semblent en faire...

Concernant les ActiveX, je n'ai pê pas été assez clair, mais je ne parlait pas de ceux qui sont sur une page web (du style de Windows Update), mais de ceux qu'un malware peut installer à ton insu, qui sont résidents et pour lesquels IE ne te dit rien.

Pour les XPI, c'est pas faux... Mais ils ont quand même accès au net (certains affichent la météo ou je ne sais quoi d'autre), peuvent toucher au DOM (comme FireBug), donc ils peuvent quand même faire pas mal de choses ! Certes, ils ne peuvent pas (du moins, je ne pense pas) accéder au filesystem, mais ils peuvent facilement dérober login/password d'un peu tout.

C'est probablement moins pratique / facile à exploiter, certes.