Microsoft : la faille WMF n'était pas intentionnelle
Steve Gibson explore les Mariannes
Un petit scandale fait rage entre Microsoft et l’expert en sécurité Steve Gibson. Ce dernier a inspecté de près la fameuse faille du WMF sous Windows et en est arrivé à des conclusions pour le moins surprenantes. Une faille est critique pour Microsoft dès lors qu’elle permet de créer une automatisation des attaques exploitant la faille sans requérir d’intervention de l’utilisateur, ou une intervention minimale. Selon Steve Gibson, la faille WMF « n’était pas une erreur. Ce n’était pas un code buggé. Cette faille a été posée par quelqu’un dans Windows. » Une accusation franche signifiant par là que Microsoft connaissait et pouvait potentiellement utiliser cette faille.
Des accusations devant lesquelles Microsoft pouvait difficilement rester silencieuse. La société s’est exprimée par le biais de Stephen Toulouse, responsable de la sécurité. En fait, il y a pour lui une certaine accumulation de confusions.
Tout tourne autour d’une fonction nommée SetAbortProc, située dans les fichiers WMF, qui sert à envoyer un signal d’annulation d’impression. C’est dans cette fonction que réside la faille, et elle existe depuis longtemps, puisqu’elle remonte jusqu’à Windows 3.0. Cette faille se trouve en conséquence aussi dans toute la branche 9x des Windows, mais elle ne représente pas le même danger (la faille n’est pas considérée comme critique).
Il est certain que l’explication de Steve Gibson a produit son petit effet. Quoi qu’il en soit, la faille est désormais comblée, bien que les sociétés de sécurité s’attendent à des répercussions pour encore six ou huit mois. En effet, même si la faille est corrigée, les systèmes déjà touchés par des vers restent vulnérables, et seul un antivirus pourra rétablir la situation.
Source :
BetaNews
Vincent Hermann
le 16 janvier 2006 à 11:47
(11 638
lectures)
Actualités et brèves relatives
- 11 / 01 / 2006 : Les mises à jour mensuelles Microsoft sont là
- 10 / 01 / 2006 : Deux nouvelles failles pour le WMF sous Windows
- 06 / 01 / 2006 : Faille du WMF : le correctif officiel est déjà là
- 04 / 01 / 2006 : Microsoft annonce une rustine de la faille du WMF
- 02 / 01 / 2006 : La faille du WMF mêlée à un ver sous MSN
- 30 / 12 / 2005 : La faille du WMF sous Windows ne cesse de faire des victimes
- 28 / 12 / 2005 : Une nouvelle faille dans Windows XP déjà exploitée
- 20 / 12 / 2005 : Dasher : deux derniers petits vers avant Noël ?
