BlueKrypt

Ce weekend, le développeur Andreas Grech, a découvert une faille de sécurité au sein du gestionnaire des extensions Google Chrome. Rappelons que les extensions du navigateur sont codées en HTML et Javascript et autorisent également la manipulation de DOM. C'est d'ailleurs bien l'autorisation de l'Ajax, utilisé pour accéder ou mettre à jour du contenu, qui pose problème.

Sur son blog personnel, M. Grech affirme ainsi qu'il a trouvé le moyen de lire les champs de texte, y compris les identifiants et les mots de passe associés à certains sites Internet. Le jeune hacker a mis au point une extension basée sur la bibliothèque JQuery capable d'opérer cette lecture puis d'envoyer un email via une requête Ajax contenant les identifiants de la victime ainsi que l'URL de connexion. Parmi les sites testés notons Gmail, Facebook ou encore Twitter.