Internet Explorer source d’une nouvelle faille importante
FAye
Microsoft vient de publier un nouveau bulletin de sécurité pour une vulnérabilité touchant Internet Explorer. Exploitée, elle permet à distance d’accéder à des fichiers sur la machine faillible. Seuls ingrédients nécessaires : Internet Explorer sous Windows XP ou sous d’autres plateformes mais avec un mode protégé désactivé. « Ce mode prévient l’exploitation de la vulnérabilité, il est activé par défaut pour les versions du navigateur sur Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2 » certifie Microsoft.
Dans le scénario type, on peut envisager un attaquant qui conçoit un site exploitant cette faille. Ne reste plus alors qu’à convaincre et persuader l’internaute de s’y rendre pour que l’exploitation se déroule. (phishing, fausses pubs, spams…)
Selon Microsoft, il faut que l’attaquant connaisse le nom et l’emplacement du fichier qu’il veut se voir délivrer. Selon le découvreur du bug, il est potentiellement possible de lire tous les fichiers sur la machine de la victime. Ce découvreur, c'est le chercheur Alvarez Medina, un consultant pour Core Security Technologies.
Peu de détails : la faille profite de la combinaison des zones de sécurité d’Internet Explorer et du protocole utilisé pour la gestion des fichiers sous le navigateur. Microsoft avait déjà colmaté partiellement une faille touchant aux zones de sécurité d’Internet Explorer, mais visiblement ce n’était pas assez. Selon Media, l’attaque prend appui sur la conception même d’Internet Explorer qui permet de faire croire qu’une machine locale fait partie de la zone Internet pour laisser un attaquant distant accéder aux fichiers.
Un Proof of Concept devrait être diffusé après le colmatage de Microsoft lors du « Patch Tuesday » de février. Un coup dur pour l'éditeur qui avait tout juste corrigé il y a une dizaine de jours une faille 0 Day sur IE.
Dans le scénario type, on peut envisager un attaquant qui conçoit un site exploitant cette faille. Ne reste plus alors qu’à convaincre et persuader l’internaute de s’y rendre pour que l’exploitation se déroule. (phishing, fausses pubs, spams…)
Selon Microsoft, il faut que l’attaquant connaisse le nom et l’emplacement du fichier qu’il veut se voir délivrer. Selon le découvreur du bug, il est potentiellement possible de lire tous les fichiers sur la machine de la victime. Ce découvreur, c'est le chercheur Alvarez Medina, un consultant pour Core Security Technologies.
Peu de détails : la faille profite de la combinaison des zones de sécurité d’Internet Explorer et du protocole utilisé pour la gestion des fichiers sous le navigateur. Microsoft avait déjà colmaté partiellement une faille touchant aux zones de sécurité d’Internet Explorer, mais visiblement ce n’était pas assez. Selon Media, l’attaque prend appui sur la conception même d’Internet Explorer qui permet de faire croire qu’une machine locale fait partie de la zone Internet pour laisser un attaquant distant accéder aux fichiers.
Un Proof of Concept devrait être diffusé après le colmatage de Microsoft lors du « Patch Tuesday » de février. Un coup dur pour l'éditeur qui avait tout juste corrigé il y a une dizaine de jours une faille 0 Day sur IE.
Marc Rees
le 4 février 2010 à 10:20
(19 755
lectures)
Actualités et brèves relatives
- 01 / 02 / 2010 : FCC : la neutralité du Net admet la discrimination des contenus
- 26 / 01 / 2010 : Navigateurs en Europe : IE chute, Chrome et Firefox grimpent
- 22 / 01 / 2010 : Microsoft corrige la faille critique 0-day d'Internet Explorer
- 21 / 01 / 2010 : La faille d'IE bientôt corrigée, McAfee prend les devants (màj)
- 20 / 01 / 2010 : Faille : la France et l'Allemagne déconseillent Internet Explorer ...
- 19 / 01 / 2010 : Faille : conseiller l'abandon d'IE est « inutilement effrayant » ...
- 15 / 01 / 2010 : Chine : une faille 0 Day d‘Internet Explorer utilisée contre Google
- 13 / 01 / 2010 : Microsoft : un seul bulletin de sécurité pour janvier 2010
