Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert un nouveau \u00ab0.0.0.0<\/a> Journ\u00e9e” impactant tous les principaux navigateurs Web dont les sites Web malveillants pourraient profiter pour p\u00e9n\u00e9trer les r\u00e9seaux locaux.<\/p>\n Cette vuln\u00e9rabilit\u00e9 critique \u00ab r\u00e9v\u00e8le une faille fondamentale dans la mani\u00e8re dont les navigateurs g\u00e8rent les requ\u00eates r\u00e9seau, ce qui permet potentiellement \u00e0 des acteurs malveillants d’acc\u00e9der \u00e0 des services sensibles ex\u00e9cut\u00e9s sur des appareils locaux \u00bb, a d\u00e9clar\u00e9 Avi Lumelsky, chercheur en s\u00e9curit\u00e9 chez Oligo Security. dit<\/a>.<\/p>\n La soci\u00e9t\u00e9 isra\u00e9lienne de s\u00e9curit\u00e9 des applications a d\u00e9clar\u00e9 que les implications de la vuln\u00e9rabilit\u00e9 sont de grande port\u00e9e et qu’elle r\u00e9sulte d’une mise en \u0153uvre incoh\u00e9rente des m\u00e9canismes de s\u00e9curit\u00e9 et d’un manque de normalisation entre les diff\u00e9rents navigateurs.<\/p>\n Ainsi, une adresse IP apparemment inoffensive comme 0.0.0.0 pourrait \u00eatre utilis\u00e9e comme arme pour exploiter des services locaux, ce qui entra\u00eenerait un acc\u00e8s non autoris\u00e9 et l’ex\u00e9cution de code \u00e0 distance par des attaquants ext\u00e9rieurs au r\u00e9seau. Cette faille existerait depuis 2006.<\/p>\n La faille 0.0.0.0 Day a un impact sur Google Chrome\/Chromium, Mozilla Firefox et Apple Safari, car elle permet aux sites Web externes de communiquer avec des logiciels ex\u00e9cut\u00e9s localement sur MacOS et Linux. Elle n’affecte pas les appareils Windows, car Microsoft bloque l’adresse IP au niveau du syst\u00e8me d’exploitation.<\/p>\n En particulier, Oligo Security a constat\u00e9 que les sites Web publics utilisant des domaines se terminant par \u00ab .com \u00bb sont capables de communiquer avec des services ex\u00e9cut\u00e9s sur le r\u00e9seau local et d’ex\u00e9cuter du code arbitraire sur l’h\u00f4te du visiteur en utilisant l’adresse 0.0.0.0 par opposition \u00e0 localhost\/127.0.0.1.<\/p>\n Il s\u2019agit \u00e9galement d\u2019un contournement de l\u2019acc\u00e8s au r\u00e9seau priv\u00e9 (PNA<\/a>), qui vise \u00e0 interdire aux sites Web publics d\u2019acc\u00e9der directement aux points de terminaison situ\u00e9s dans les r\u00e9seaux priv\u00e9s.<\/p>\n Toute application qui s’ex\u00e9cute sur localhost et qui est accessible via 0.0.0.0 est susceptible d’\u00eatre ex\u00e9cut\u00e9e \u00e0 distance, y compris les instances Selenium Grid locales en envoyant une requ\u00eate POST \u00e0 \u200b\u200b0.0.0[.]0:4444 avec une charge utile fabriqu\u00e9e.<\/p>\n En r\u00e9ponse aux conclusions d’avril 2024, les navigateurs Web devraient bloquer compl\u00e8tement l’acc\u00e8s \u00e0 0.0.0.0, supprimant ainsi l’acc\u00e8s direct aux points de terminaison des r\u00e9seaux priv\u00e9s \u00e0 partir des sites Web publics.<\/p>\n \u00ab Lorsque les services utilisent localhost, ils supposent un environnement contraint \u00bb, a d\u00e9clar\u00e9 Lumelsky. \u00ab Cette hypoth\u00e8se, qui peut (comme dans le cas de cette vuln\u00e9rabilit\u00e9) \u00eatre erron\u00e9e, entra\u00eene des impl\u00e9mentations de serveur non s\u00e9curis\u00e9es. \u00bb<\/p>\n \u00ab En utilisant 0.0.0.0 avec le mode \u00ab no-cors \u00bb, les attaquants peuvent utiliser des domaines publics pour attaquer des services ex\u00e9cut\u00e9s sur localhost et m\u00eame obtenir l’ex\u00e9cution de code arbitraire (RCE), le tout en utilisant une seule requ\u00eate HTTP. \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/0000-Jour-une-vulnerabilite-de-navigateur-vieille-de-18.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n