Failles critiques d'Internet Explorer sous XP SP2

Deux brèches critiques d'Internet Explorer 6.0 pourraient éventuellement permettre à des webmestres peu scrupuleux de prendre le contrôle à distance de PC, même s'ils sont dotés du SP2 de Windows XP.

Huit jours après une mise à jour cumulative d'Internet Explorer, voilà que deux nouvelles failles sont découvertes dans le fureteur de Microsoft. L'exploitation simultanée de ces deux brèches, conjuguée au modèle ActiveX Data Object, pourrait permettre «d'injecter des scripts malicieux dans la zone locale de la machine vulnérable», explique K-Otik.

Une des deux failles repose sur un manque de validation lors d'un «glisser-déposer» (drag and drop), un type d'événement qui était à la base d'une autre faille critique d'Internet Explorer, justement corrigée la semaine dernière par Microsoft. Selon Chaouki Bekrar de K-Otik, «la première vulnérabilité était légèrement plus facile à exploiter, ce qui n'empêche pas de qualifier le risque lié à cette deuxième variante de critique».

Il ajoute que cette nouvelle faille «ne représente pas un danger imminent pour les internautes, car la méthode d'exploitation actuelle nécessite une grande interaction de la part de l'utilisateur» mais précise toutefois que de nouvelles méthodes d'exploitation automatiques ou semi-automatiques pourraient apparaître dans les prochains jours.

Il n'existe pas encore de remède à ces brèches de sécurité, K-Otik et Secunia suggèrent donc de désactiver les scripts actifs dans Internet Explorer ou d'utiliser un autre navigateur.

Par ailleurs, ces autres navigateurs ne sont pas exempts de défauts car Secunia rapporte également des vulnérabilités qui permettraient à des sites douteux de récupérer des informations saisies dans un autre onglet du fureteur. Mozilla, Opera, Netscape et Safari sont notamment touchés. Détails et démonstrations chez Secunia.

Envoyer à un(e) ami(e)

Texte rédigé par : Jean-Charles Condo
Publié dans BRANCHEZ-VOUS! le 20 octobre 2004
Vous voulez réagir à cette actualité? Faites-le maintenant dans notre forum Internet