Sécurité des fichiers image : ouvrir des photos douteuses sans paniquer

Aucun fichier n’est sûr à 100 %

Une image paraît inerte, mais l’ouvrir revient à faire analyser par un programme un format binaire compliqué. Les analyseurs sont des logiciels, et les logiciels ont des bugs. Un exemple réel : CVE-2023-41064 est une entrée du registre public du programme CVE, que nous citons comme exemple réel d’enregistrement de vulnérabilité pour un logiciel de traitement d’images. Ouvrez l’enregistrement pour voir l’éditeur, les versions concernées et la description. Nous l’utilisons pour montrer que ces failles existent, sans rien affirmer sur le fait que votre appareil soit concerné aujourd’hui.

La leçon pratique n’est pas d’éviter les images. C’est de garder vos logiciels à jour et de réfléchir à l’endroit où vous ouvrez des fichiers de source non fiable.

Où se situe le risque

L’essentiel du risque se trouve dans les décodeurs et analyseurs : du code qui lit des en-têtes, des tables et des données compressées, souvent écrit en C ou C++ pour la vitesse. Le HEIC ajoute des couches : un conteneur (HEIF) aux nombreuses structures, plus un codec issu de la vidéo. Le projet open source libheif possède un fichier SECURITY.md qui décrit comment signaler les problèmes de sécurité, ce qui montre que ses mainteneurs y voient une part normale du travail. libde265 est le décodeur H.265 qu’il utilise par défaut pour le HEIC.

Un fichier corrompu ou hostile peut faire planter un programme ou, au pire, exploiter un bug. Un fichier simplement endommagé ne fait ni l’un ni l’autre, mais ne s’ouvrira pas.

Les bons réflexes

1. Mettez à jour votre système d’exploitation et vos applications. Les correctifs des analyseurs arrivent par les mises à jour.
2. Méfiez-vous des expéditeurs inconnus. Ouvrir la photo d’un inconnu présente un risque plus faible que lancer un programme, mais pas nul.
3. Ne vous fiez pas aux extensions. Un fichier nommé holiday.jpg peut être n’importe quoi. Le vérificateur de fichier de FromHEIC lit le type d’après le contenu et indique la taille, les dimensions, le nombre d’images, le codec et l’intégrité de base.
4. Préférez un environnement isolé. Un onglet de navigateur s’exécute dans le bac à sable du navigateur, séparé du reste de votre système.
5. Gardez l’original. Si quelque chose tourne mal, vous avez toujours la source.

Ce que fait FromHEIC pour limiter l’exposition

• Tout le traitement s’exécute dans votre navigateur, dans un Web Worker. Les fichiers ne sont pas envoyés sur un serveur.
• La Content-Security-Policy limite les connexions réseau à l’origine du site et à Google Analytics, qui ne se charge que si vous l’acceptez, ce qui limite fortement les destinations vers lesquelles un bug dans un codec pourrait envoyer votre fichier.
• Les codecs sont des modules WebAssembly (libheif avec libde265 pour le décodage) servis depuis le même domaine.
• Le type est détecté d’après le contenu, et chaque fichier produit est réanalysé ou décodé avant que le téléchargement ne soit proposé.
• Des limites existent : 200 Mo par fichier, 100 mégapixels par image, 200 fichiers par lot.

Cela réduit le risque sans le supprimer. Un décodeur WebAssembly peut encore avoir des bugs, et le navigateur aussi. L’objectif est qu’une défaillance reste confinée à l’onglet. La page Sécurité de ce site le dit plus en détail.

Inspecter avant de convertir

Trois outils examinent un fichier sans chercher à le réparer ni à le modifier :

• Le diagnostic de fichier détecte la troncature, une mauvaise extension, un conteneur invalide, des codecs non pris en charge et un EXIF malformé, puis tente un vrai décodage.
• L’inspecteur HEIC montre la structure : marques, codec, items, miniatures, etc.
• Le vérificateur de fichier donne le vrai type et l’intégrité de base.

Si un fichier est étrange, un contrôle échoué est une information.

Les métadonnées sont aussi un risque pour la vie privée

La sécurité ne se limite pas à l’exécution de code. Les photos contiennent des données personnelles. ExifTool répertorie les balises GPS qu’un fichier peut contenir, comme la latitude et la longitude. Avant de partager, consultez le guide des métadonnées et envisagez Supprimer les métadonnées HEIC. Apple note aussi que certains modes de partage peuvent convertir les médias dans un format plus compatible ; ce n’est pas une fonction de confidentialité et il ne faut pas compter dessus pour supprimer quoi que ce soit.

Quand redoubler de prudence

• Un fichier de source inconnue que vous devez ouvrir.
• Un fichier qui fait planter des logiciels de façon répétée.
• Une « photo » dont l’extension ou la taille est inattendue.

Dans ces cas, utilisez un navigateur à jour, ouvrez le fichier dedans plutôt que dans un ancien programme de bureau, et évitez de l’ouvrir sur un appareil contenant des données sensibles si possible. En cas de doute, demandez une autre copie à l’expéditeur.

Signaler un problème

Si vous pensez avoir trouvé un problème dans FromHEIC, consultez la page Contact. Pour les bibliothèques sous-jacentes, suivez la procédure de signalement de chaque projet.