Attaques
Clippy le trombone compromet Windows 2000
Par Jerome Saiz, le 13 sept 2007 à 11:17:00 - Dernière modification le 17 oct 2007.
La livraison mensuelle des correctifs de Microsoft corrige une vulnérabilité majeure dans Windows 2000, introduite par l'assistant Office. Vingt-quatre heures plus tard, les codes d'attaques fleurissent sur le net afin d'exploiter la faille. Si vous utilisez encore Windows 2000, il est grand temps de patcher !
La vulnérabilité critique découverte dans Windows 2000 affecte le contrôle ActiveX "Agent" (agentdpv.dll), mieux connu sous la forme du détestable petit trombone de la suite Office (l'Assistant Office). Ce dernier, disparu dans les versions actuelles d'Office, permettrait à un intrus sous Windows 2000 SP4 d'exécuter le code de son choix sur le PC à la simple visite d'une page web piégée.
Il suffit en effet d'introduire quelques lignes de Javascript sur une page web afin d'appeler le contrôle ActiveX vulnérable et tirer profit de la faille. L'attaque est donc ouverte non seulement aux sites généralement considérés comme peu fiables (warez, cracks, pornographiques, etc...) mais aussi aux sites légitimes qui auraient pu être compromis. Cette dernière approche est un vecteur d'attaque particulièrement courant aujourd'hui. Récemment, de nombreux sites web italiens ont fait les frais de cette méthode d'attaque, et avant eux même le portail de Wanadoo en France.
La vulnérabilité est corrigée depuis mardi, mais cela n'empêche pas plusieurs codes d'exploitation d'avoir vu le jour, de manière isolée ou diffusés dans giron de plate-formes de tests d'intrusion. Microsoft conseille vivement l'application du correctif ou, si cela n'est pas possible immédiatement, de désactiver le support des contenus actifs dans Internet Explorer (ActiveX et Javascript).
Plus d'informations :- L'alerte de Microsoft (en français)
Cartes blanches
Alors qu'OpenID attise l'intérêt des géants de l'informatique, l'acquisition de Credentica par Microsoft laisse augurer d'une possible guerre des « standards » en matière de gestion des identités sur le Web.
Face à un constat d'échec des contrôles internes dans les banques, un RSSI propose 5 règles à adopter d'urgence.
Le risque induit par un nouveau projet peut mettre en danger l'entreprise. Une analyse de risque en amont est indispensable.espace partenaires
Livres blancs
Editeurs, constructeurs, contactez-nous afin d'offrir vos Livres Blancs en téléchargement ici.
