IE7 et ses failles...

Link Station > Section Technique > Actualité - Débats >
[ACTU] IE7 et ses failles...

Aller au Forum:

SsoopajudMaitreNiveau 19 · ChroniqueurRéférenceur Aguerri

Membre depuis: 2003
Messages: 3883

Plus

Membre n°: 8629
Inscription: 28 Jan 2003
Localisation: Cunnilingus
Âge: 53 ans
Sujets lancés: 383
Ancienneté: 97 %
Participation: 76 %
Temps en ligne: 23 Jours, 13 Heures, 10 Minutes, 58 Secondes en ligne

[ACTU] IE7 et ses failles... Ancien message

17-12-2008 08:30

Citation

La vulnérabilité 0day affectant IE7 prend de l'ampleur !

La vulnérabilité 0day d'Internet Explorer 7 est désormais confirmée dans les versions antérieures du fureteur alors que les attaques se multiplient.

La semaine dernière, nous évoquions dans nos colonnes une vulnérabilité à exploitation immédiate mise au jour au sein d'Internet Explorer 7, et ce quelques heures après le dernier Patch Tuesday. De quoi laisser libre cours à une exploitation pendant près d'un mois, sauf publication en urgence d'un correctif de la part de Microsoft. C'est ainsi qu'un code dévolu à cette tâche a d'abord fait son apparition dans des forums chinois.

La vulnérabilité IE s'étend
Entre temps, la situation a évolué, et pas dans le bon sens. La vulnérabilité a été confirmée dans les versions d'Internet Explorer antérieures à la 7 avec IE 5.01 SP4, IE6 avec ou sans SP1. Microsoft continue cependant de soutenir que les attaques dont il a eu vent ciblent uniquement IE7 sur Windows XP SP2 / SP3, Windows Server 2003 SP1, Windows Server 2003 SP2, Windows Vista, Windows Vista Service Pack 1 et Windows Server 2008.

Il n'empêche que samedi, le géant américain a aussi indiqué que les attaques avaient augmenté de 50 %, plaçant sous la menace 0,2 % des internautes dans le monde exposés à des sites Web contenant un code exploit tirant parti de cette vulnérabilité. La firme de Redmond ne cite pour le moment que des cas asiatiques avec des sites Web légitimes corrompus pour héberger l'exploit. Cela a notamment été le cas d'un moteur de recherche populaire, et plus prévisible de sites pornographiques qui ont distribué via la faille des chevaux de Troie.

Selon un bulletin d'alerte publié par le CERTA, la vulnérabilité de type corruption de mémoire est présente au niveau de la bibliothèque logicielle mshtml.dll utilisée par IE. Pour être piégé, un utilisateur doit donc consulter une page Web spécialement conçue.

Soins palliatifs
A défaut de recommander l'utilisateur d'un autre fureteur en attendant la correction de la faille... Microsoft propose des solutions de contournement qui permettent de bloquer les vecteurs d'attaque connus.

Parmi ces solutions, régler la sécurité du navigateur au niveau Elevé afin de tout simplement afficher un message de confirmation avant l'exécution d'un contrôle ActiveX ou d'un script, activer DEP (Data Execution Prevention) sous Vista afin d'empêcher l'exécution de code depuis des blocs de mémoire qui contiennent normalement des données. Autre palliatif avec la désactivation de la fonctionnalité d'îlot de données XML mais cela nécessite un petit tour du côté de la base de registre.

Encore plus simple : Utiliser Firefox !

__________________