SECURITE 
Sommaire Sécurité
Une nouvelle faille dans Internet Explorer... d'ores et déjà exploitée
A chaque semaine, sa nouvelle vulnérabilité dans le navigateur de Microsoft. La dernière en date, définie comme critique, est déjà activement exploitée pour injecter du code malveillant via une page Web.  (21/09/2006)
  En savoir plus
 0 Day
 Backdoor
Dossier Failles de sécurité
Le moins que l'on puisse dire, c'est que l'on ne doit pas chômer actuellement au sein de l'équipe de développement de Microsoft. Et ce qui pose plus particulièrement problème à la firme ces dernières semaines, c'est son navigateur Web, Internet Explorer. Une nouvelle faille critique a en effet été identifiée, une "Zero Day" comme disent nos amis anglophones.

Si la découverte d'une vulnérabilité potentiellement exploitable par un pirate est déjà en soi une mauvaise nouvelle, cela devient encore plus problématique lorsqu'elle s'accompagne de codes malveillants en tirant profit. Ce qui en l'occurrence est le cas de la nouvelle faille frappant Internet Explorer.

C'est cette fois la manière dont le navigateur gère le Vector Mark-up Language (VML) qui est en cause. Il s'agit d'une extension de XML définissant le moyen de décrire des documents au format de type vecteur. A noter que ce composant est également inclus dans Open XML, le format employé par Office 2007.

La vulnérabilité permettrait, par le biais d'une page HTML piégée, de provoquer un dépassement de mémoire tampon et d'exécuter à distance du code sur un ordinateur. Selon plusieurs experts en sécurité, dont notamment l'X-Force d'ISS et Secunia, de multiples sites hébergeraient déjà cet exploit.

Si dans un premier temps, les pirates se sont contentés d'installer à l'insu des internautes, de simples logiciels commerciaux (adwares), ils ont depuis déployé d'autres outils de leur arsenal, d'après Eric Sites, le vice président recherche et développement de Sunbelt. L'éditeur de solutions de sécurité aurait ainsi répertorié 40 codes malveillants distincts, dont notamment des enregistreurs de frappes (keyloggers) et des chevaux de Troie.

40 codes malveillants déjà répertoriés
D'après ces mêmes chercheurs, seraient concernés par la vulnérabilité, IE 6 pour Windows XP SP2 et les éditions plus anciennes du navigateur dont la 5.01. La toute dernière mouture, IE7, pourrait également présenter un risque.

L'origine de cette nouvelle faille serait manifestement le fait d'un groupe de pirates russes dénommé WebAttacker. Ces derniers commercialisent en effet, pour la bagatelle de 15 à 20 dollars, un kit de codes exploitant de multiples failles. Le nouvel exploit pourrait donc faire partie de la toute nouvelle version de ce kit.

De son côté Microsoft a publié un bulletin d'alerte en précisant qu'un attaquant pouvait, par le biais de cette vulnérabilité, obtenir sur un poste les mêmes droits que son propriétaire. Un profil utilisateur comprenant des droits restreints doit donc permettre de limiter les impacts. L'éditeur précise également qu'un patch devrait être disponible le 10 octobre prochain.

Un correctif qui sera également l'occasion pour Microsoft de corriger une autre vulnérabilité critique d'Internet Explorer concernant l'utilisation du contrôle ActiveX d'animation Daxctle.ocx. Les contrôles ActiveX sont régulièrement impliqués dans des failles de sécurité et ce depuis déjà plus de 4 ans.

  En savoir plus
 0 Day
 Backdoor
Dossier Failles de sécurité
En attendant le patch mensuel de Microsoft, il est donc recommandé de se montrer vigilant et de respecter les principes de précaution d'usage, comme éviter de visiter des sites Web potentiellement risqués ou inconnus. Secunia recommande en outre de désactiver l'option Active Scripting dans les paramètres avancés d'Internet Explorer.

 
 
Christophe AUFFRAY, JDN Solutions Sommaire Sécurité
 
 
Accueil | Haut de page
 
 

  Nouvelles offres d'emploi   sur Emploi Center
Auralog - Tellmemore | Publicis Modem | L'Internaute / Journal du Net / Copainsdavant | Isobar | MEDIASTAY

Voir un exemple

Voir un exemple

Voir un exemple

Voir un exemple

Voir un exemple

Toutes nos newsletters