Couple IE-Safari : la faille Carpet Bomb en dit plus

A la toute fin du mois de mai, Microsoft a publié un avis de sécurité concernant une vulnérabilité affectant à priori la version Windows (XP et Vista) de Safari et dont l'exploitation permet l'exécution à distance de code arbitraire. Cette vulnérabilité a donné lieu aux échanges habituels afin de déterminer les responsabilités de chacun. Les experts de la sécurité informatique ont parlé et un consensus a été dégagé. Il n'est pas en faveur de la firme de Redmond puisque c'est bel et bien Microsoft qui avec son navigateur Web Internet Explorer 6,7 et même 8 pour la bêta, a été désigné comme principal instigateur de la faille dite Carpet Bomb. Un constat d'autant plus accablant que rien dans le récent Patch Tuesday n'a été prodigué pour pallier ce problème.


Le contexte de l'exploitation
Au lancement, Internet Explorer recherche des fichiers DLL pas seulement dans les dossiers où sont stockés les fichiers système Windows mais également sur le bureau. C'est d'ailleurs en premier lieu à cet endroit que la recherche s'effectue si IE est lancé depuis un raccourci bureau.

De son côté, le comportement fautif de Safari consiste à télécharger par défaut et sans en avertir au préalable l'utilisateur, des fichiers directement sur le bureau. Ainsi, un fichier DLL spécialement conçu placé sur le bureau à l'insu de l'utilisateur Windows lors d'un surf sur la Toile avec Safari, pourrait être chargé par Internet Explorer et compromettre le système.

Le chercheur en sécurité Liu Die Yu a conçu à des fins de démonstration, un code exploit tirant parti de cette vulnérabilité IE qui provoque l'ouverture automatique du bloc-notes au lancement du navigateur. Il a également publié une page Web en guise de preuve de concept qui sauvegarde un fichier dénommé schannel.dll sur le bureau lors d'une consultation avec Safari. Normalement, cette bibliothèque logicielle contient les fonctions nécessaires à une communication sécurisée via SSL/TLS.

Si c'est la combinaison IE-Safari qui est en cause pour une forme d'exploitation de cette vulnérabilité, c'est toutefois plus vers IE que les critiques se concentrent plutôt qu'à l'encontre du comportement un peu laxiste de Safari. A l'instar de Firefox qui télécharge également par défaut les fichiers sur le bureau, Microsoft souhaite que Safari prenne la peine de solliciter l'avis de l'utilisateur avant d'opérer le rapatriement. Microsoft serait toutefois bien avisé de s'occuper aussi du cas de son navigateur vulnérable car il existe sans doute d'autres moyens de placer un fichier DLL corrompu sur le bureau. Nul doute que des pirates planchent déjà sur la question.