Faille critique pour Office 2007 bêta et Internet Explorer

Comme de nombreuses récentes vulnérabilités découvertes, celle-ci est une variante d'un vieil exploit que Microsoft pensait avoir corrigé en 2004. Mais dès lors que VML est intégré en tant que standard dans le format Office Open XML - format par défaut de la prochaine suite bureautique de l'éditeur - cette faille présente un risque plus important que celle d'il y a deux ans ; elle est en effet qualifiée de très critique par Secunia ( voir le bulletin ).

Hier toujours, Eric Sites, vice-président de la recherche de Sunbelt, a posté des captures d'écran sur le blogue de l'entreprise montrant un programme malicieux non détecté par l'analayseur de Microsoft Baseline Security. Dans un entretien dans le Washington Post, Sites a indiqué que Sunbelt n'était pas tout à fait certain de ce que pouvait faire ce logiciel espion.

Microsoft a de son côté confirmé qu'il y avait un problème, délivrant un nouveau bulletin de sécurité pour cette faille 0-day. Celui-ci annonce que le problème vient de la bibliothèque VML " vgx.dll " qui ne concerne pas spécifiquement Internet Explorer mais les systèmes et applications qui l'utilisent. La firme de Redmond a pointé du doigt les OS ( Operating System ) touchés par cette vulnérabilité, à savoir Windows 2000 SP4, Windows XP SP1 et SP2, et Windows Server 2003.

Par conséquent, un programme malicieux, exploitant cette faille dans cette bibliothèque VML pourrait causer des dommages qui ne seraient pas directement liés au navigateur mais à l'ensemble des programmes l'utilisant, comme Office 2007 par exemple. Tout comme Microsoft, Eric Sites suggère aux utilisateurs de désactiver vgx.dll en tapant dans l'invite de commandes : regsvr32 -u "%ProgramFiles%CommonFilesMicrosoft SharedVGXvgx.dll"