Vulnérabilités
Internet Explorer et Winamp : les liaisons dangereuses.
Par Jerome Saiz, le 04 jan 2004 à 12:24:00.
Une nouvelle faille découverte dans Internet Explorer permet à un site web de faire exécuter certains fichiers d'aide déjà installés sur le PC. Rien de grave, sauf lorsque Winamp est installé, par exemple. Cette vulnérabilité permet alors un amusant tour de passe-passe : elle permet de faire exécuter n'importe quel code fourni à distance par un site web.
La première faille de l'année pour Internet Explorer est une variante d'une vulnérabilité déjà connue : elle permet à un site web de faire exécuter à distance, sur le PC de la victime, un fichier d'aide de Windows (à l'extension
.CHM) à condition qu'il soit déjà installé sur l'ordinateur.Considérée telle quelle, cette faille n'est pas vraiment grave : après tout, les fichiers déjà installés sur le PC appartiennent à son utilisateur et son considérés sûrs.
Mais l'affaire devient plus sérieuse lorsque, outre Internet Explorer, certains autres utilitaires courants sont installés sur le PC, dont le lecteur multimédia Winamp.
Ces outils permettent à un site web de placer temporairement un fichier sur le disque dur de l'internaute, dans un emplacement standard. Normalement, il s'agit de fichiers nécessaires au bon fonctionnement du logiciel.
Mais un site web malicieux pourrait les forcer à placer à cet endroit non pas un fichier utile, mais plutôt un virus ou un cheval de Troie dont l'extension serait changée afin d'imiter celle des fichiers d'aide de Windows. Connaissant alors déjà son emplacement sur le disque dur de sa victime, le pirate pourrait ensuite utiliser la faille d'Internet Explorer afin de faire exécuter ce pseudo fichier d'aide par le navigateur, activant ainsi le parasite.
Cette vulnérabilité concerne Internet Explorer 5.01, 5.5 et 6. Il n'existe encore aucun correctif, hormis de désactiver l'exécution de script ou d'utiliser un autre produit.
Plus d'information
- L'alerte (en Anglais)
Cartes blanches
Rien ne semble changer en matière de risques et sécurité dans le monde bancaire. Constat désabusé et inquiet d'un RSSI du secteur.
Alors qu'OpenID attise l'intérêt des géants de l'informatique, l'acquisition de Credentica par Microsoft laisse augurer d'une possible guerre des « standards » en matière de gestion des identités sur le Web.
Le risque induit par un nouveau projet peut mettre en danger l'entreprise. Une analyse de risque en amont est indispensable.
Les plus lus
Les thématiques
DNS : le pire a été évitéAntivirus : la révolution in the cloudLes botnets se mettent au Web 2.0Faille DNS : ça patche !Hébergement web : les serveurs dédiés victimes d'abusAT&T victime de la faille DNS de KaminskyEva Chen : "Nous perdons la bataille"De bonnes idées chez les concurrentsDécès de Christophe PipparelliUne vulnérabilité zero-day exploitée dans Microsoft Office Acesss
espace partenaires
Livres Blancs
Guides
Le Guide Sécurité & Stockage 2009, c'est 290 pages consacrées au marché et à ses acteurs, et 300 entreprises référencées.
