La faille dans des produits Symantec, découverte et annoncée au grand public par eEye Digital Security, n’aura pas survécu. Claironnée le 24, elle est d’ores et déjà comblée par l’éditeur. On rappellera qu’en raison d’une erreur de dépassement de pile (stack overflow), les logiciels affectés offraient, au moins sur le papier, un accès système en local ou à distance. Un risque jugé « hautement critique » par eEye du fait qu’aucune authentification ne soit requise de l’attaquant.


Symantec a donc offert un lot de rustines, précisant bien que le problème ne concerne que des versions entreprises des produits maison : Symantec Client Security, pour des versions 3.1 et 3.0 et Symantec Antivirus Corporate Edition 10.0 et 10.1. La faille est moins vaste qu’on ne le craignait puisqu’« aucun produit de la ligne Norton ne est affecté » explique l’éditeur, qui souligne encore que seuls les patchs pour les versions anglaises sont disponibles à ce jour. Les autres langues suivront sous peu via les dispositifs de mises à jour habituelles.

On trouvera ici l’avis original de Symantec, avec les liens vers les correctifs d’ores et déjà disponibles.