Sogou Input Method : des failles critiques enchaînées ouvrent la porte aux attaquants
Plusieurs failles critiques ont ciblé l’éditeur de méthode de saisie Sogou, un logiciel de saisie chinois utilisé par des centaines de millions d’utilisateurs sur Windows. Gen Threat Labs a découvert une vulnérabilité d’exécution de code à distance (CVE-2026-51990) qui permet, avec un seul clic, d’installer la porte dérobée GRAYRABBIT. Cette attaque exploite une chaîne de trois faiblesses distinctes.
Cette faille repose sur un enchaînement d’erreurs. On parle d’une injection non validée d’arguments en ligne de commande dans le gestionnaire de protocole sgbiz:. À cela s’ajoute une navigation URL non restreinte dans le composant SGMyInput.exe et l’utilisation d’un moteur de navigateur Chromium obsolète et non isolé. Le groupe de menaces UNC3569 a utilisé cette vulnérabilité activement en conditions réelles.
Le chemin de l’attaque dans l’IME
Pour comprendre le risque, il faut savoir que Sogou Input Method n’est pas un exécutable unique ; c’est un ensemble de composants qui communiquent via un schéma de protocole personnalisé enregistré sous sgbiz:. Lorsqu’une URL de ce type est ouverte, Windows transmet le relais à biz_helper.exe, le gestionnaire de protocole. Les paramètres de cette URL sont analysés, et c’est là que le premier maillon faible apparaît : le paramètre param, qui dicte les arguments passés à l’exécutable ciblé, ne reçoit aucune validation. Un attaquant peut ainsi injecter des arguments arbitraires.
Le coup de maître de l’exploit est de cibler SGMyInput.exe et d’utiliser le paramètre -url pour diriger le navigateur intégré, basé sur CEF, vers un site contrôlé par l’attaquant. Le mécanisme de visualisation des skins, skincenter, est le seul endroit où Sogou intègre un navigateur. C’est la porte d’entrée parfaite pour que l’injection d’argument se transforme en chargement de contenu malveillant.
Les vecteurs d’attaque multiples
L’arsenal d’attaque autour de Sogou ne s’arrête pas à l’exploit par lien direct. D’autres vecteurs de compromission ont été identifiés. Selon ESET, le groupe SlippyNunchucks a utilisé le mécanisme de promotion de vocabulaire de Sogou pour détourner les requêtes DNS. Ce mécanisme, en mode HTTP non sécurisé, permettait de rediriger les connexions vers des serveurs de staging malveillants. Ces derniers fournissaient une configuration corrompue, instruisant le binaire SGTool.exe à télécharger des charges utiles supplémentaires en mode DLL sideloading, incluant le malware DarkVigil (CVE-2026-120422).
Ce scénario montre une attaque sophistiquée : la compromission du réseau (DNS hijacking) sert à livrer le code, tandis que le mécanisme d’application est exploité pour l’exécution finale.
Ce cocktail de vulnérabilités se greffe sur des failles plus anciennes. La CVE-2021-38003, présente dans le moteur V8, permettait de laisser fuiter la valeur spéciale « TheHole » dans un environnement Chromium vulnérable. Cette faille renforçait la capacité des attaquants à exécuter du code via le webview de Sogou.
Que faire maintenant
Les éditeurs de Sogou ont réagi. Pour la vulnérabilité liée au DNS hijacking (CVE-2026-120422), Tencent a migré les requêtes HTTP affectées vers HTTPS dans sa version 16.10, publiée le 29 octobre 2026. Pour l’exploit à un clic (CVE-2026-51990), la mise à jour correspondante a également été déployée.
Il est impératif que les utilisateurs de Sogou Input Method vérifient leur version. Si l’on utilise une version antérieure à 16.3.0.3498, le risque d’exploitation par injection d’arguments est réel, avec un CVSS de 9,8, jugé critique. Surveiller l’émergence de nouvelles campagnes utilisant ces chaînes d’exploitation, notamment celles menées par des acteurs soupçonnés d’opérer pour des intérêts étatiques, reste la priorité.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2021-38003 | Google Chromium V8 | Élevée (CVSS 8,8) | Oui (KEV, 3 novembre 2021) | Voir l’avis de l’éditeur |
| CVE-2026-120422 | — | Élevée (CVSS 8,9) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-51990 | — | Critique (CVSS 9,8) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Gray Rabbits and the Tale of a One-Click Backdoor, gendigital.com
- TheHole New World – how a small leak will sink a great browser (CVE-2021-38003), starlabs.sg
- China-Aligned Hackers Hijack Sogou Input Method DNS Requests to Deploy DarkVigil Backdoor, The Hacker News, 4 novembre 2026
- GHSA-4xx3-xg55-3wr5 : Inappropriate implementation in V8 in Google Chrome prior to 95.0.4638.69 allowed a…, GitHub Advisory Database (CC BY 4.0)
- CVE-2021-38003, NVD (NIST)
- CVE-2021-38003 dans le catalogue KEV, CISA
- GHSA-8j99-xfj8-8r32 : Sogou Input Method for Windows contains a vulnerability in the configuration retrieval…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-120422, NVD (NIST)
- GHSA-rwr7-cc7w-2wrw : An issue in Sogou Sogou Input Method < 16.3.0.3498 (fixed in 16.3.0.3498) allows a…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-51990, NVD (NIST)
