Forum-vista : Entraide et dépannage Windows Vista et Windows Seven

Une fois n'est pas coutume (ahem), une importante faille de sécurité a été révélée au lendemain du traditionnel patch tuesday mensuel, qui était particulièrement conséquent ce mois-ci. Celle-ci touche toutes les versions d'Internet Explorer et permet l'exécution de code à distance, comme l'installation d'un logiciel malveillant sans autre intervention de la part de l'utilisateur que la visite d'un site internet.

Découverte la semaine dernière, la faille aurait été largement exploitée, puisque près de 6 000 sites internet étaient infectés samedi et ce nombre serait en rapide progression, d'après le spécialiste de la sécurité TrendMicro. Microsoft a également publié un bulletin d'alerte indiquant que le mode protégé d'IE7 permet de « limiter l'impact de la vulnérabilité ».

La firme de Redmond invite les webmasters à se prémunir des injections SQL qui servent à infecter ces derniers et tente de minimiser leur nombre en attendant de publier un correctif, dans un délai non communiqué, sans pour autant attendre les mises à jours mensuelles.

Microsoft comble la faille critique d'Internet Explorer

L'importance donnée à la faille de sécurité affectant Internet Explorer n'était pas feinte : rompant avec ses habitudes, Microsoft a procédé mercredi soir à la publication en urgence d'un correctif de sécurité destiné à son navigateur, sans attendre le deuxième mardi de chaque mois, date à laquelle il distribue habituellement ses rustines et mises à jour.

Qualifiée de critique par l'ensemble des éditeurs de sécurité, cette vulnérabilité était susceptible de permettre l'exécution de code à distance si un utilisateur affichait à l'aide d'Internet Explorer une page Web spécialement conçue, ouvrant la porte à l'injection de malwares, à l'élévation de privilèges et enfin à la prise de contrôle à distance d'un ordinateur.

Les modalités d'exploitation de cette faille ont été publiées le 10 décembre dernier, quelques heures seulement après la publication des correctifs Windows du mois de décembre. D'après certains éditeurs, plus de dix mille sites Web, essentiellement pornographiques, auraient été piégés pour permettre d'en tirer parti, au fur et à mesure que se multipliaient exploits et proof of concept sur les sites spécialisés.

« Nous déplorons cependant que, dans le cas présent, la description de cette vulnérabilité ait été publiée sans laisser le temps à Microsoft d'en fournir le remède. » explique Bernard Ourghanlian, directeur technique et sécurité chez Microsoft France, dans un communiqué envoyé en urgence par l'éditeur mercredi soir.

Tous les utilisateurs d'Internet Explorer sont donc invités à procéder sans attente à l'installation de ce correctif, dont la distribution a d'ores et déjà commencé via Windows Update. On pourra sinon le télécharger manuellement via cette page.