La mise à jour Windows 10 1903 a réussi à casser une importante fonctionnalité de sécurité dans Google Chrome et tous les navigateurs concurrents basés sur Chromium. Y compris le nouveau Microsoft Edge.

Alors que les iPad continuent leur mue pour devenir des machines aptes à remplacer nos PC portables, une nouvelle étape pourrait être franchie très prochainement.

Les équipes de Google Project Zero expliquent comment la mise à jour Windows 10 1903 (mai 2019) a cassé une importante fonctionnalité de sécurité dans Google Chrome et tous les navigateurs basés sur Chromium. Ce qui implique aussi le nouveau Microsoft Edge réécrit pour tourner avec le moteur de rendu Chromium.

Dans un post très technique, les chercheurs donnent un éclairage sur ce énième cafouillage – alors que la livraison des mises à jour sur les PC Windows 10 est régulièrement l’occasion de découvrir des problèmes. Ce qui est d’autant plus agaçant lorsque le bug touche une composante système comme Microsoft Edge – que l’éditeur était censé tester en profondeur.

Au coeur du problème, se trouve une fonctionnalité de sandboxing utilisée notamment par les navigateurs Chromium. Cette fonctionnalité protège la sécurité du navigateur en créant un environnement d’exécution limité. De sorte que si du code malicieux est lancé par une page, celui-ci ne puisse pas accéder aux reste du système d’exploitation où il pourrait faire des dégâts.

Or, ce que disent les chercheurs, c’est que Microsoft a fait des  erreurs fondamentales dans la manière de gérer ces sandbox, permettant à des acteurs malicieux de facilement les contourner. Cette Build 1903 du système d’exploitation Windows 10 gère en effet mal le système de token nécessaire à l’établissement sécurisé de ces environnements d’exécution limités.

Microsoft a depuis lancé un patch correctif KB4549951 dans la mise à jour cumulative d’avril 2020. Or, c’est presque un gag : la mise à jour cause plus de problèmes qu’elle n’en résout chez de certains utilisateurs. La prochaine mise à jour majeure de Windows 10 sera disponible en mai. On espère que Microsoft aura tiré les leçons de ces bugs à répétition…

Source : phonandroid.com