Faille WMF : tout n'est pas réglé...

Le correctif publié par Microsoft pour combler la faille WMF a tout juste eu le temps de s’installer confortablement sur nos disques durs, et voilà que Symantec nous apprend que le risque n’a pas pour autant disparu…

Vendredi dernier, Microsoft publiait avec quelques jours d’avance une mise à jour de Windows (toutes versions sauf 95, 98 et Millenium) sensé éradiquer une vulnérabilité avérée concernant la prise en charge des fichiers ".wmf" (ou WMF) par son système d’exploitation. Une poignée de jours auparavant, des développeurs privés avaient déjà proposé leur solution au problème, et l’éditeur de Redmond avait dû avancer la date de sortie officielle de son correctif, initialement prévu pour aujourd’hui.

On pensait donc l’affaire réglée, mais la firme de sécurité informatique Symantec annonce qu’il n’en est rien : le moteur de rendu graphique de l’Explorateur Windows serait toujours sensible à des images piégées, et pourrait occasionner des dénis-de-service. Rien de plus sérieux à prévoir pour l’instant : aucune prise de contrôle à distance ne semble possible dans ce cas, mais ceux qui ont déjà vu leur PC ‘’planter’’ alors qu’ils étaient en train de travailler sur un projet important, et perdu de ce fait leurs données, savent à quel point un ‘’simple’’ déni-de-service peut être désagréable…

Selon Symantec, la cause de cette vulnérabilité tient dans le fait qu’une image au format GIF, JPG, PNG ou TIF peut en fait cacher un fichier WMF trafiqué, sans que Windows soit en mesure de faire la différence. Seule solution envisagée pour l’instant : désactiver la visionneuse d’images et de télécopies de Windows, qui se lance automatiquement dès qu’Internet Explorer (90% des internautes l’utilisent, rappelons-le) rencontre sur un site Web une page contenant un fichier WMF.

Chez Symantec, on ne se dit pas surpris de la résurgence, sous une forme nouvelle, de cette faille, d’autant que plusieurs firmes de sécurité avaient déjà laissé entendre que le problème avait été identifié, même si elles attendaient la sortie du correctif de Microsoft avant de publier les résultats de leurs travaux.

Le site chinois Xfocus devrait dévoiler dans les prochains jours une preuve de concept de l’exploitation possible de cette faille-bis. Au moment où étaient écrites ces lignes, Microsoft n’avait pas réagi à la nouvelle.


NB: la source américaine de cet article renvoie au blog d'un des "découvreurs" de cette nouvelle faille, qui indique par quelles manipulations un déni-de-service peut être provoqué sur une machine non patchée tournant sous Windows XP SP2.