Firefox 95 : une nouvelle technique de sandbox améliore la sécurité du navigateur

Dans la version 95 qui vient d’être publiée, les développeurs de Firefox se sont particulièrement penchés sur la sécurité du navigateur web. La nouvelle version comble au total 13 lacunes de sécurité dont certaines sont considérées comme « à haut risque ». Elle ajoute en outre une nouvelle sandbox appelée « RLBox », dont la fonction de protection doit aller nettement au-delà des possibilités de la technologie sandbox classique pour l’isolation des processus. Les développeurs ont également sécurisé la version 91.4.0 avec support à long terme, Firefox ESR.

Les développeurs sont particulièrement fiers de la technique de sandbox appelée RLBox, qui a été intégrée et activée dans les navigateurs sur toutes les plates-formes. Elle est le résultat d’une collaboration avec des chercheurs de l’Université de Californie San Diego et de l’Université du Texas.

Le sandbox classique du navigateur isole les différentes pages web ou fonctions en tant que processus. Les programmeurs citent comme exemple les codecs audio et vidéo, qui fonctionnent de manière isolée dans Firefox dans des processus séparés les uns des autres. Mais cela présente plusieurs inconvénients. Le code doit être découplé et fonctionner de manière asynchrone, ce qui prend du temps et peut nuire à la vitesse. De plus, les besoins en mémoire augmentent. Les développeurs estiment qu’il n’est pas possible d’isoler ainsi l’analyseur XML des autres parties du programme.

RLBox utilise donc comme astuce de traduire d’abord le code de programme dans le standard WebAssembly. WebAssembly fournit intrinsèquement certaines fonctions de sécurité qui sont ainsi automatiquement introduites (contexte pour les lecteurs intéressés : WebAssembly – Les applications web sur la voie rapide,). Ce n’est qu’à partir de là que l’on génère du code natif, expliquent les développeurs de Firefox. Cela a lieu dès le processus de construction lors de la compilation de Firefox sur les serveurs de Mozilla. Par conséquent, le code binaire ainsi généré ne peut pas sauter à des endroits inattendus du programme et ne peut pas accéder à des zones de mémoire en dehors de certaines limites.

Cette modification permet d’exécuter du code de confiance (propre) et du code non fiable (tiers) dans la même zone de mémoire et donc au sein du même processus. Aucune adaptation majeure du code n’est nécessaire. Les programmeurs devraient vérifier la plausibilité des valeurs de retour provenant de la sandbox, car elles pourraient y être rassemblées avec des intentions malveillantes. Une tâche que RLBox simplifie grâce à une « couche de peinture », expliquent les développeurs de Firefox dans un article de blog.

Avec ce sandbox RLBox plus finement granulé, le navigateur web isole d’abord cinq modules tiers : Graphite, Hunspell, Ogg, Expat et Woff2. D’autres modules devraient être ajoutés petit à petit.

Avec la version 95, les développeurs de Mozilla ont pu combler 6 failles à risque « élevé », 5 failles classées comme modérées et 2 failles à faible risque de sécurité. Les entrées Bugzilla sont encore bloquées. Selon la description de l’avis de sécurité de Firefox, les vulnérabilités auraient toutefois permis aux pirates d’introduire des codes malveillants, de divulguer des informations sensibles ou d’effectuer des attaques par spoofing.

La version 91.4.0 de l’ESR ne comble que des failles de sécurité. Cinq d’entre elles présentent un risque « élevé », trois un risque « moyen » et deux ne constituent qu’une faible menace. Là encore, le rapport de sécurité des développeurs de Firefox ne fournit que des informations succinctes.

Dans les notes de version de Firefox 95, les programmeurs énumèrent d’autres améliorations. Il y a par exemple la disponibilité du navigateur dans le Microsoft Store de Windows 10 et 11 – ce qui permet d’utiliser le navigateur en mode Windows S, dans lequel seules les applications du Store peuvent être lancées. Pour mieux protéger les utilisateurs contre les attaques par canal latéral comme Spectre, les développeurs ont activé l’isolation du site pour tous les utilisateurs. En outre, la liste énumère d’autres modifications mineures qui optimisent et accélèrent le comportement du navigateur.

Les nouvelles versions sont disponibles sur la page de téléchargement du projet Firefox. Pour savoir si la mise à jour automatique a déjà mis à jour l’installation locale, les utilisateurs peuvent cliquer sur le menu « Hamburger » en haut à droite et sélectionner « Aide »-« À propos de Firefox ». Si nécessaire, cela déclenche le processus de mise à jour et redémarre le navigateur en appuyant sur un bouton.

Voir aussi :

  • Firefox : téléchargement rapide et sûr de heise.de

Lire aussi

LAISSER UN COMMENTAIRE

S'il vous plaît entrez votre commentaire!
S'il vous plaît entrez votre nom ici