Avast – le moteur JavaScript de l’antivirus désactivé en urgence

Faille découverte via le ProjectZero de Google

Cet ordinateur portable n'est plus vendu
L'ordinateur portable présenté ci-dessous a été commercialisé en 2020, et n'est plus en vente. Depuis, de nombreux modèles plus récents et mieux équipés ont vu le jour.

Avast a désactivé en urgence le moteur JavaScript de son célèbre antivirus après qu’une faille a été repérée dans le cadre du ProjectZero de Google.

Chercheur en sécurité du ProjectZero de Google, Tavis Ormandy a mis à jour une faille présente dans l’interpréteur JavaScript de l’antivirus Avast et en a prévenu la firme le 4 mars.

Cet émulateur est utilisé par Avast pour analyser le code JavaScript avant qu’il s’exécute dans le navigateur ou un logiciel de messagerie afin de bloquer un éventuel code malicieux.

Mais ce module n’est pas isolé dans une sandbox et permet d’accéder à l’ensemble du système. Ce qui constitue une vulnérabilité sévère, comme Tavis Ormandy (qui a attendu le 9 mars pour communiquer publiquement sur le sujet) l’explique :

Toutes les vulnérabilités de ce processus sont critiques et facilement accessibles à des attaquants à distance.
Alors n’est peut-être pas génial qu’il intègre un interpréteur JavaScript personnalisé… ???

Il suffirait alors d’une page web avec code JavaScript malveillant ou fichier JS ou WSH malicieux envoyé par mail pour prendre le contrôle d’un ordinateur.

Suite à la désactivation de ce module JavaScript le 11 mars, Avast tient à rassurer :

Cela n’affectera pas la fonctionnalité de notre produit AV, qui est basé sur plusieurs couches de sécurité

Toujours est-il que si vous utilisez Avast, vérifiez qu’il est bien à jour.

[Source : GitHub]

Besoin d’aide pour choisir votre PC portable ?
LaptopSpirit vous propose un court questionnaire qui va nous permettre de bien comprendre vos besoins. Nous pourrons ainsi vous conseiller les ordinateurs portables les plus adaptés à votre utilisation et à votre budget !
, ,

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.


+ 5 = 9