Une faille s'en prend à Internet Explorer

Catégorie: Web

chronique image

Autres articles de ce chroniqueur

chronique image 17 décembre 2010Body Browser
chronique image 16 décembre 2010OpenBSD et le FBI
chronique image 10 décembre 2010Google Message
05 novembre 2010

Microsoft vient d'émettre un bulletin d'alerte : une faille 0-day serait actuellement exploitée sur les versions 6, 7 et 8 de son célèbre navigateur, Internet Explorer.

La dernière mouture du browser, IE9 beta, ne serait pas concernée, de même que l'installation par défaut d'IE8 qui passerait entre les gouttes (le navigateur ne peut être exploité qu'en cas d'activation du paramètre Data Execution Prevention). En revanche, IE6 et IE7 sont touchés, le malware semble avoir été conçu spécialement pour attaquer ces deux logiciels.

Le système n'est toutefois vulnérable que si l'internaute a visité et a été infecté par un site Web infecté. Actuellement, une seule page de ce type a été détectée, et elle a depuis été nettoyée. Microsoft assure que personne n'a encore été victime de cet exploit, qui permet à un hacker d'exécuter du code distant sur une machine, puis d'en prendre le contrôle à distance.

D'après Symantec, en revanche, la faille a déjà fait des dégâts dans plusieurs entreprises, dont les noms restent confidentiels. C'est un site légitime qui aurait été mis en cause : « Les propriétaires de ce serveur n’étaient pas au courant que leur machine était impliquée dans l’hébergement de programmes malveillants. Les fichiers sur ce serveur ont été consultés par nombre de personnes issues de nombreuses organisations dans de multiples industries à travers le monde », explique l’éditeur spécialisé en sécurité.

Malgré tout, très peu d'infections seraient à déplorer, puisque « très peu d’entre eux ont eu accès au fichier signalé, ce qui signifie que la plupart des utilisateurs ont navigué en utilisant un navigateur qui n’est pas vulnérable ou ciblé ». De quoi être rassuré.

Microsoft assure surveiller de près la situation. Un correctif d'urgence sera peut être proposé. Sinon, la faille sera très probablement colmatée avec le prochain Patch Tuesday (le 9 novembre).

Source : Microsoft