Cybersécurité il y a 3 hAjouter aux favoris
Une faille dans l'extension navigateur Adobe Acrobat permet à des sites malveillants de lire les données WhatsApp Web de la victime - un contournement classique de la Same-Origin Policy via une extension privilégiée.
Une chaîne de vulnérabilités désormais corrigée dans l'extension Adobe Acrobat pour Chrome - qui compte plus de 314 millions d'utilisateurs - permettait à un site web malveillant visité par la victime d'accéder silencieusement aux données de WhatsApp Web : liste des contacts, conversations en cours, potentiellement historique des messages.
La faille a été baptisée HermeticReader par les chercheurs de Guardio Labs, qui l'ont divulguée après correction.
L'attaque exploite le fait qu'une extension navigateur, en particulier une extension avec des permissions larges (<all_urls> ou similaire), peut lire et écrire dans le DOM de n'importe quel onglet. Une faille logique dans le code de l'extension permettait à une page tierce d'injecter du contexte que l'extension exécutait avec ses propres privilèges - court-circuitant la Same-Origin Policy (SOP), la règle fondamentale qui empêche evil.com de lire les cookies de whatsapp.com.
1. Vérifiez que l'extension Adobe Acrobat est à jour via chrome://extensions - la version corrigée est déjà distribuée. 2. Si vous n'utilisez pas l'intégration Acrobat dans le navigateur : désinstallez-la (elle ne sert qu'à ouvrir des PDF dans Acrobat Reader plutôt que dans le viewer intégré). 3. Auditez la liste de vos extensions : chaque extension avec 'Read and change all your data on all websites' est un point de contournement potentiel de la SOP.
Ce type d'incident illustre un problème récurrent : les extensions navigateur sont un maillon faible de la sécurité web. Elles bénéficient de privilèges qu'aucun code de page ne pourrait obtenir (accès à tous les onglets, aux cookies, aux headers), mais elles sont maintenues avec des ressources bien inférieures à celles allouées aux navigateurs eux-mêmes ou aux sites cibles.
L'ironie du scénario : la Same-Origin Policy protège WhatsApp Web contre toutes les tentatives de vol depuis d'autres origines web. Mais elle ne protège pas WhatsApp Web contre une extension installée par l'utilisateur avec des permissions larges - et c'est cette confiance implicite qui est trahie ici.
Le fait que l'extension touche 314 millions d'utilisateurs donne l'échelle du risque : chaque faille sur ce périmètre équivaut, en potentiel, à une compromission massive silencieuse. Adobe a poussé le correctif - c'est le comportement attendu, mais la question de fond demeure : combien d'autres extensions ultra-déployées portent des bugs équivalents jamais découverts ?
Pour l'utilisateur, la règle est simple et pénible : installer une extension = étendre la surface d'attaque de tous les services web que vous utilisez. Le mode « strict » de Chrome (Manifest V3, permissions plus granulaires) réduit un peu le risque mais ne l'élimine pas - un bug d'extension avec permissions accordées reste un bug avec permissions accordées.
Pour les développeurs d'extension : traiter chaque postMessage, chaque event DOM, chaque insertion HTML depuis une page tierce comme une entrée hostile. C'est la même hygiène que pour un service web exposé sur Internet.
À retenir
Article produit par intelligence artificielle, relu sous contrôle éditorial humain.