Microsoft travaille d'arrache-pied pour résoudre l'épineux problème que pose la dernière faille en date sous Internet Explorer.
Déjà décrite dans nos colonnes, la faille qui affecte Internet Explorer en ce moment n'en finit pas d'empoisonner Microsoft, qui se voit contraint, à moins de deux semaines de son Patch Tuesday de décembre 2005, de préparer une riposte qui tienne la route.
L'éditeur de Redmond reconnaît sans langue de bois que cette vulnérabilité a été sous-estimée, non en raison d'une quelconque incompétence, mais parce qu'au moment où elle lui a été soumise, les conditions matérielles de son exploitation n'étaient pas réunies. La donne a changé, et avec elle le niveau d'anxiété, là-bas, au bord du Pacifique.
Une porte-parole de Microsoft traduit le travail effectué au moment même où vous lirez ces lignes par ces mots: "c'est une tâche titanesque, qui suppose un passage obligé par un certain nombre d'étapes et de points de contrôle."
Il semble quasiment acquis que le patch qui comblera cette faille sera cependant dévoilé et publié avant le mardi 13 décembre, étant donné la gravité de la situation.
Pour mémoire, la vulnérabilité dont il est question ici repose sur peu, voire pas du tout, d'interaction entre pirate et utilisateur: en effet, une simple visite sur un site piégé déclenche automatiquement l'installation d'un Trojan (un cheval de Troie, pour nous autres francophones) téléchargeur, baptisé TrojanDownloader:Win32/Delf.DH chez MSRC (Microsoft Security Response Center), et JS/Exploit-BO.gen par McAfee, qui indique avoir déjà chargé sa signature dans la dernière mise à jour de son anti-virus.
Il semblerait que Symantec et Kaspersky soient eux aussi à jour sur ce plan.
Le cheval de Troie, de son côté, prend immédiatement le contrôle de la machine qui a eu le malheur de croiser sa route.
Les éditeurs de solutions de sécurité sont d'accord sur un point: l'exploit est sérieux, car il fonctionne en temps réel (zero-day), immédiatement, et même sur des machines sous Windows XP Service Pack 2, soit la définition la plus sécurisée que Microsoft puisse offrir de son système d'exploitation.
Un analyste déclare: "S'il est une occasion pour laquelle Microsoft doit absolument publier un patch en dehors du cycle mensuel habituel, c'est bien celle-là."
Une parade possible pour ceux qui croiraient leur machine infectée est de se rendre sur le site de déverminage en ligne de Microsoft, le Windows Live Safety Center, est de procéder à un scan complet ("Complete Scan") de leur système. Cela devrait suffire à débarasser les PC malades de leurs agresseurs.
Soulignons cependant qu'on ne peut effectuer cette opération que depuis Internet Explorer, ce qui suppose l'installation d'un contrôle ActiveX, dont on connaît les multiples vertus en matière de sécurité…
Pour enchaîner sur une note positive, cependant, soulignons que le scan en question détectera également les vulnérabilités de votre connexion Internet (anti-virus résident non mis à jour, pare-feu débranché, etc…).
Depuis fin 2003, et l'apparition des Patch Tuesdays, c'est la troisième fois que Microsoft se voit contraint de sortir un correctif à contre-temps. Par trois fois, ces mises à jour concernaient Internet Explorer…
Déjà décrite dans nos colonnes, la faille qui affecte Internet Explorer en ce moment n'en finit pas d'empoisonner Microsoft, qui se voit contraint, à moins de deux semaines de son Patch Tuesday de décembre 2005, de préparer une riposte qui tienne la route.
L'éditeur de Redmond reconnaît sans langue de bois que cette vulnérabilité a été sous-estimée, non en raison d'une quelconque incompétence, mais parce qu'au moment où elle lui a été soumise, les conditions matérielles de son exploitation n'étaient pas réunies. La donne a changé, et avec elle le niveau d'anxiété, là-bas, au bord du Pacifique.
Une porte-parole de Microsoft traduit le travail effectué au moment même où vous lirez ces lignes par ces mots: "c'est une tâche titanesque, qui suppose un passage obligé par un certain nombre d'étapes et de points de contrôle."
Il semble quasiment acquis que le patch qui comblera cette faille sera cependant dévoilé et publié avant le mardi 13 décembre, étant donné la gravité de la situation.
Pour mémoire, la vulnérabilité dont il est question ici repose sur peu, voire pas du tout, d'interaction entre pirate et utilisateur: en effet, une simple visite sur un site piégé déclenche automatiquement l'installation d'un Trojan (un cheval de Troie, pour nous autres francophones) téléchargeur, baptisé TrojanDownloader:Win32/Delf.DH chez MSRC (Microsoft Security Response Center), et JS/Exploit-BO.gen par McAfee, qui indique avoir déjà chargé sa signature dans la dernière mise à jour de son anti-virus.
Il semblerait que Symantec et Kaspersky soient eux aussi à jour sur ce plan.
Le cheval de Troie, de son côté, prend immédiatement le contrôle de la machine qui a eu le malheur de croiser sa route.
Les éditeurs de solutions de sécurité sont d'accord sur un point: l'exploit est sérieux, car il fonctionne en temps réel (zero-day), immédiatement, et même sur des machines sous Windows XP Service Pack 2, soit la définition la plus sécurisée que Microsoft puisse offrir de son système d'exploitation.
Un analyste déclare: "S'il est une occasion pour laquelle Microsoft doit absolument publier un patch en dehors du cycle mensuel habituel, c'est bien celle-là."
Une parade possible pour ceux qui croiraient leur machine infectée est de se rendre sur le site de déverminage en ligne de Microsoft, le Windows Live Safety Center, est de procéder à un scan complet ("Complete Scan") de leur système. Cela devrait suffire à débarasser les PC malades de leurs agresseurs.
Soulignons cependant qu'on ne peut effectuer cette opération que depuis Internet Explorer, ce qui suppose l'installation d'un contrôle ActiveX, dont on connaît les multiples vertus en matière de sécurité…
Pour enchaîner sur une note positive, cependant, soulignons que le scan en question détectera également les vulnérabilités de votre connexion Internet (anti-virus résident non mis à jour, pare-feu débranché, etc…).
Depuis fin 2003, et l'apparition des Patch Tuesdays, c'est la troisième fois que Microsoft se voit contraint de sortir un correctif à contre-temps. Par trois fois, ces mises à jour concernaient Internet Explorer…
Source :
eWeek
