A empresa de segurança francesa Vupen revelou ter descoberto falhas graves no navegador de internet Chrome, do Google. O Chrome tem um componente de segurança chamado “sandbox” que isola o navegador do sistema, impedindo que um criminoso consiga alterar o sistema e instalar vírus, por exemplo, com facilidade. A Vupen disse que sabe de uma falha nesse componente e que, por enquanto, está compartilhando os detalhes apenas com seus clientes governamentais.

Os especialistas disponibilizaram um vídeo mostrando como é possível executar código no Chrome rodando no Windows 7 64-bit com todos os recursos de segurança ativados.

A Vupen é uma empresa polêmica. Está em seu terceiro nome (ela chamava-se FrSIRT e, antes, K-otik). Começou como um banco de dados gratuito contendo códigos para a exploração de falhas; depois, passou a cobrar pelo acesso e, agora, não está mais trabalhando nem com desenvolvedores de software que não pagarem pela informação – o que é considerado uma violação ética da área de segurança por vários profissionais.

O Google é uma das poucas empresas que remunera pesquisadores por descobrirem falhas de segurança e até hoje todas as falhas descobertas na segurança do Chrome entraram no programa de recompensas normais do Google.

Durante a competição de segurança Pwn2Own 2011, havia um prêmio de US$ 20 mil para falhas no componente de segurança do Chrome, mas nenhum pesquisador de segurança – nem mesmo a Vupen, que estava presente – mostrou a existência de uma vulnerabilidade.

Além da sandbox do Chrome, um código malicioso que quer funcionar no Windows 7 ainda precisa burlar as proteções do sistema, que são a prevenção de execução de dados (DEP) e a disposição aleatória do espaço de endereços (ASLR), algo que já acontece, mas ainda é considerado uma façanha complexa por profissionais de segurança.