Une faille classée sans suite par Microsoft
Le par Ange-Gabriel C.
Source : ComputerWorld
Une vieille faille affectant Internet Explorer ne recevra pas de correctif avant la sortie des prochains Service Packs de Microsoft.
A l'automne dernier, plusieurs spécialistes de la sécurité informatiques rapportaient avoir identifié une faille dite "zero day" (à effet immédiat) sur la fonction glisser-déposer d'Internet Explorer dans ses versions 5.01, 5.5 et 6.0. A l'époque, un consensus se dégageait, pour admettre que cette vulnérabilité présentait une dangerosité importante, dans la mesure où un site Web soigneusement modifié pouvait l'exploiter, et conduire à une infection du PC concerné au moyen de toutes sortes de vilaines bestioles, telles que chevaux de Troie, vers et autres logiciels espions.
Comme souvent, hélas, Microsoft jouait une partition différente de celle de ses partenaires en terme de sécurité, et indiquait qu'un correctif ne s'imposait pas dans l'immédiat. L'éditeur de Redmond le confirme aujourd'hui, soit près de six mois après les faits, et indique que les prochains Service Pack 2 pour Windows Server 2003, et Service Pack 3 pour Windows XP, apporteront une solution à ce problème, mais que d'ici là, il faudra simplement faire preuve de prudence... et de patience !
Les différents éditeurs de solutions de sécurité qui se sont penchés sur la question, et ils sont nombreux, sont unanimes à critiquer l'attitude un brin désinvolte de Microsoft, et avec l'accord de ce dernier, la firme SecuriTeam propose trois méthodes ( lire la rubrique "Workaround" ) pour se prémunir contre les infections liées à cette faille, avérée, rappelons-le.
Complément d'information
-
Internet Explorer, le navigateur Internet de Microsoft, est sujet à une nouvelle faille de sécurité permettant aux pirates de dérober aux internautes leurs informations d'identification aux sites Web. -
Lors de la navigation avec Internet Explorer, si l'adresse saisie par l'utilisateur pointe vers une page web temporairement inaccessible, une page web navcancl.
Poser une question
En pratique, c'est du vent, j'ai du mal à comprendre pourquoi on la prendrait au sérieux : l'utilisateur doit glisser-déplacer un objet entre une fenêtre d'IE et une de l'explorateur, dans des conditions précises que certains n'arrivent même pas à reproduire. C'est à l'utilisateur de faire tout le travail ! Pourquoi ne pas lui demander de faire "format c:" pendant qu'on y est '
Si les utilisateurs tombent dans un panneau aussi gros, alors ils tomberont aussi dans celui qui consiste à cliquer sur "Oui" à l'installation d'applets Java douteuses. Ce qui infecterait même Firefox !
Et les workarounds me font mourir de rire ! Des procédures aussi compliquées alors que le bon vieux conseil de "ne pas faire confiance au premier site Web venu" suffit. L'unique workaround valable serait une greffe du cerveau pour l'utilisateur...
Bref, beaucoup de bruit pour rien, tout ceci ne sert qu'à faire de la pub pour les firmes de sécurité.