Internet Explorer : une faille de plus

le 04/02/2010 à 21:28
Internet Explorer : une faille de plus
Microsoft rendait public hier soir la présence d'une nouvelle faille de sécurité dans son navigateur vedette, Internet Explorer. Affectant toutes les versions d'Internet Explorer, et toutes les versions de Windows, cette brèche de sécurité permet à une personne malintentionnée d'accéder à l'ensemble des fichiers présents sur la machine concernée. La bonne nouvelle tout de même, car il y en a une, c'est que le mode d'exécution protégé d'Internet Explorer sur les systèmes d'exploitation Windows Vista, Windows Server 2008 et Windows 7 rend la faille inexploitable.

Toutefois ce n'est pas le cas sous Windows XP, où le problème est jugé très sérieux. En attendant la publication d'un correctif, qui interviendra à une date non encore déterminée, Microsoft propose une solution pour les systèmes Windows XP via un assistant effectuant certains réglages dans la base de registre afin de verrouiller les protocoles réseau nécessaires. Le bulletin de sécurité concernant ce problème se trouve ici.

À l'occasion de cette énième faille de sécurité, nous avons pu nous entretenir avec Bernard Ourghanlian, responsable des problématiques sécurité pour Microsoft France.Clubic.com : Cette nouvelle faille d'Internet Explorer remet sur le devant de la scène la vétusté d'Internet Explorer 6.0. Ne serait-il pas temps de s'en débarrasser ?Bernard Ourghanlian : Très franchement, nous aimerions bien nous débarrasser d'Internet Explorer 6.0, mais on ne peut tout simplement pas. En entreprise, déployer un nouveau navigateur est un énorme travail. Tant que Windows XP sera supporté par Microsoft, Internet Explorer 6.0 le sera également. La date de fin de support de Windows XP court jusqu'en 2014.Clubic.com : N'est-il pas temps également d'abandonner définitivement le moteur de rendu Trident d'Internet Explorer et d'en écrire... un nouveau ?Bernard Ourghanlian : Nous touchons ici à une problématique de l'héritage. Il est certain que si nous devions réécrire Windows par exemple, nous ne le ferions plus de la même façon. Le code d'Internet Explorer est certes, pour partie, ancien mais il rend des services à des millions de gens à travers le monde. Pour reprendre l'exemple de Windows, nous savons tous que l'avenir est au code managé et nous serions ravi de proposer une version de Windows en .NET. Hélas, on ne peut pas car il faut assurer la compatibilité avec le passé. Et d'une manière générale, c'est compliqué de maintenir la compatibilité avec le passé.

Pour en revenir à Internet Explorer, on va de toute façon abandonner Trident avec la prochaine version d'Internet Explorer. Non seulement pour des problématiques de performance mais également pour se conformer aux nouveaux standards du web.Clubic.com : Les récentes failles d'Internet Explorer montrent que le modèle du Patch Tuesday a peut être vécu. Est-ce le cas ?Bernard Ourghanlian : Non. Le Patch Tuesday reste d'actualité, pour preuve un certain nombre de sociétés ont adopté un modèle similaire. Notre initiative est suivie et présente beaucoup d'avantages. Elle permet notamment aux entreprises de se préparer grâce au notification en avance de phase. Toutefois on sait que dans un certain nombre de cas le fait de publier un rapport de vulnérabilité va entraîner à très court terme des attaques tirant parti de la faille documents. Nous essayons donc en général de corriger plusieurs failles en même temps afin de rendre plus complexe le travail de reverse engineering. D'une manière générale, la sécurité est une grande école de l'humilité. Tôt ou tard, on sait très bien que tel nouvel algorithme ou tel nouvelle technique présentée comme inviolable sera contournée.

A lire également

La fondation Mozilla distribue depuis quelques heures une mise à jour de sécurité destinée à son navigateur vedette, Firefox, qui se voit donc désormais estampillé de la référence 2.0.0.7. Ce correctif vise principalement à combler une faille de sécurité liée à la fonctionnalité QuickTime Media Link de Quicktime, découverte il y a plus d'un an, dont les modalités d'exploitation ont été publiées voilà une semaine sur le Web. Certains auront sans doute déjà remarqué l'activation du module de mise à jour automatique. Pour les autres, cette nouvelle version est d'ores et déjà disponibles sur nos serveurs, via cette fiche pour Windows et Linux, ou cette autre fiche pour les amateurs de Mac OS.

Cette vulnérabilité aurait été décelée il y a environ un an par un chercheur anglais nommé Petko Petkov, qui fit à l'époque un rapport à Apple. La mise à jour Quicktime distribuée en mars dernier visait notamment à combler cette vulnérabilité, mais n'aurait pas correctement envisagé l'éventualité dans laquelle le lecteur multimédia est appelé par Firefox dans les versions 2.0.0.6 et antérieures. La semaine dernière, ce chercheur a donc finalement décidé de publier sur son blog un « proof of concept », ou démonstration de l'existence de cette faille.

La vulnérabilité en question permettrait à un pirate mal intentionné d'envoyer à Quicktime du code Javascript, qui est alors interprété par le navigateur Internet de l'utilisateur. Jusqu'ici, l'utilisation de l'extension No Script pour Firefox permettait de se protéger de ce type de menace. Le problème se voit ainsi résolu par cette mise à jour du navigateur Mozilla. Petko Petkov entreprend maintenant de sensibiliser l'opinion au sujet d'une faille similaire permettant d'exploiter des vulnérabilités du moteur d'Internet Explorer à partir de fichiers multimédia appelés dans Windows Media Player, même si l'utilisateur ne surfe qu'avec Firefox, Opera ou tout autre navigateur...
Un spécialiste polonais de la sécurité informatique signalait en début de semaine la découverte de quatre vulnérabilités concernant les navigateurs Internet Explorer (Microsoft) et Firefox (Mozilla) - deux pour chacun des logiciels. Window Snyder, responsable de la sécurité au sein de Firefox, a d'ores et déjà répondu à l'annonce de ces deux failles, en indiquant que les développeurs du logiciel en avaient pris connaissance et que la menace n'était pas jugée élevée. Chez Microsoft, on explique - comme toujours - que les éventuelles vulnérabilités sont à l'étude, et que les mesures adéquates seront rapidement prises si le danger de ces failles potentielles est avéré. On précise toutefois qu'aucune attaque relative à cette annonce n'a encore été constatée.

D'après Michal Zalewski, qui a découvert ces vulnérabilités, la plus sévère pourrait être exploitée pour forcer l'exécution d'un code JavaScript issu d'une première page sur une seconde. Il serait ainsi possible de récupérer les informations contenues dans les cookies de navigation, voire de détourner le contenu d'une page ou de provoquer une corruption de mémoire. Celle-ci affecterait Internet Explorer, versions 6 et 7, même si les dernières mises à jour de sécurité sont installées.

La seconde, en termes d'importance, concerne Firefox. Relative à la gestion des iFrames, elle permettrait à un attaquant d'injecter du contenu en provenance de son propre site sur un site cible afin de procéder par exemple à du vol d'information personnelle. D'après Windows Snyder, il ne serait cependant pas possible d'exécuter du code à distance au moyen de cette faille. Des pirates amateurs de phishing trouveraient toutefois un intérêt certain dans l'exploitation d'une telle vulnérabilité.

La troisième autoriserait quant à elle - sous Firefox - le téléchargement ou l'exécution de fichiers sans le consentement de l'utilisateur, en contournant les opérations de confirmation habituellement requises dans ce genre de cas. Enfin, la quatrième et dernière, qui ne touche qu'Internet Explorer 6, est censée permettre à un pirate d'usurper une URL dans la barre d'adresses du navigateur.

Commentaires

Ecrire

Ecrire un message

Votre message vient d'être créé avec succès.
LoadingChargement en cours