Google a publié une nouvelle mise à jour de sécurité pour Chrome. Celle-ci corrige dix vulnérabilités, dont une critique, qui pourraient permettre l'exécution à distance de code malveillant en dehors des mécanismes d'isolation du navigateur. Ce problème affecte les utilisateurs de Windows, macOS, Linux et Android et constitue la deuxième mise à jour de sécurité de Chrome cette semaine. La vulnérabilité la plus grave se situe dans le composant Prerender, qui précharge le contenu des pages web afin d'accélérer leur affichage. Il s'agit d'une vulnérabilité d'utilisation après libération (use-after-free), qui permet d'utiliser de la mémoire déjà libérée. Une page HTML spécialement conçue pourrait exploiter cette faille pour exécuter du code sur l'appareil de la victime. La menace peut survenir lors de la visite d'un site web malveillant. Un utilisateur pourrait y accéder, par exemple, après avoir cliqué sur un lien reçu par SMS. L'attaque pourrait permettre l'exécution de code malveillant en dehors du bac à sable de Chrome, conçu pour limiter l'impact d'une éventuelle exploitation des vulnérabilités du navigateur.

La vulnérabilité a été découverte par Xinyang Ge, employé d'Anthropic. Il a signalé à Google cinq des dix vulnérabilités corrigées dans la dernière mise à jour. Le modèle de langage Claude a également été utilisé lors de la détection de cette faille. Google a également corrigé des problèmes dans d'autres composants du navigateur, notamment le DOM, le noyau, le SVG et le moteur JavaScript V8. Certains de ces problèmes étaient considérés comme à haut risque, tandis que les failles des modules Desktop, Compositing et Workers étaient jugées à risque moyen. La plupart des vulnérabilités ont été signalées en octobre, bien que l'une d'entre elles fût connue des développeurs depuis avril. Le développement des outils d'intelligence artificielle contribue une fois de plus à améliorer la sécurité des logiciels. Les modèles de langage peuvent aider à analyser le code et à détecter les bogues potentiels, mais cela fonctionne dans l'autre sens : les pirates informatiques utilisent également ces modèles pour s'introduire dans nos ordinateurs et nos téléphones.