Vulnérabilités
Cinq failles critiques ignorées dans Internet Explorer.
Par Jerome Saiz, le 25 nov 2003 à 23:55:00.
Une série de cinq failles critiques frapperait Internet Explorer sans qu'un correctif ne soit disponible pour les neutraliser. Il s'agirait de variantes de vulnérabilités corrigées par la dernière rustine de Microsoft. Des exemples d'exploits fonctionnels circulent déjà sur Internet. [Mis à jour le 26/11/03]
Cinq failles critiques viendraient d'être découvertes dans Internet Explorer, sans qu'il ne soit encore possible de les corriger. Elles sont basées sur des vulnérabilités déjà corrigées par le dernier patch de Microsoft.
L'une des attaques exploite la manière dont Internet Explorer gère les adresses commençant par "
mhtml:", un standard conçu à l'origine pour faciliter l'intégration de code HTML dans les emails. Cette implémentation était déjà à l'origine d'une faille bien connue dans Outlook, découverte plus tôt cette année. Aujourd'hui, la faille pourrait permettre à un site web malicieux de manipuler des fichiers sur le disque dur de l'internaute ou d'y télécharger et d'y exécuter un code parasite.Une autre de ces découvertes est de type "Cross Site Scripting", un classique pourtant. Elle permettrait de faire exécuter un script au navigateur avec les droits normalement alloués à la zone locale du système, plus permissive.
Les autres vulnérabilités permettraient d'explorer le cache du navigateur ou de prendre (en partie) le contrôle du navigateur à distance. Mais l'alerte n'est pas très prolixe sur le sujet.
Ces vulnérabilités ont étés découvertes par Liu Die Yu, un traqueur de bugs chinois bien connu. Bon timing : ce dernier viens de faire publier, il y a quelques jours à peine, un appel à la communauté d'Internet afin de lui obtenir un PC. Il aurait en effet perdu le sien et n'aurait pas les moyens d'en acheter un nouveau. L'annonce de cette série de failles tombe au bon moment, question publicité !
Nous n'avons pas testé ces vulnérabilités, annoncées pour Internet Explorer 5.01, 5.5 et 6. Mais des "preuves de concept" existent et des exploits circuleraient sur Internet. Cela nous a été confirmé par l'équipe de K-Otik, qui affirme avoir testé avec succès ces exploits. Pour l'heure, le seul moyen de s'en protéger est de désactiver le scripting d'Internet Explorer, en attendant le prochain correctif mensuel de Microsoft.
Plus d'information
- L'alerte de Secunia.
Cartes blanches
Une phrase d'Eric Domage, d'IDC, interpelait récemment décideurs et acteurs du marché sur l'importance des coûts et le peu de ROI découlant des projets d'IAM. Bruno Vincent nuance voire réfute en partie, ces propos.
Rien ne semble changer en matière de risques et sécurité dans le monde bancaire. Constat désabusé et inquiet d'un RSSI du secteur.
Les dossiers
Les thématiques
espace partenaires
Livres Blancs
Guides
Le Guide Sécurité & Stockage 2009, c'est 290 pages consacrées au marché et à ses acteurs, et 300 entreprises référencées.
