La vulnérabilité IE s'étend
Entre temps, la situation a évolué, et pas dans le bon sens. La vulnérabilité a été confirmée dans les versions d'Internet Explorer antérieures à la 7 avec IE 5.01 SP4, IE6 avec ou sans SP1. Microsoft continue cependant de soutenir que les attaques dont il a eu vent ciblent uniquement IE7 sur Windows XP SP2 / SP3, Windows Server 2003 SP1, Windows Server 2003 SP2, Windows Vista, Windows Vista Service Pack 1 et Windows Server 2008.
Il n'empêche que samedi, le géant américain a aussi indiqué que les attaques avaient augmenté de 50 %, plaçant sous la menace 0,2 % des internautes dans le monde exposés à des sites Web contenant un code exploit tirant parti de cette vulnérabilité. La firme de Redmond ne cite pour le moment que des cas asiatiques avec des sites Web légitimes corrompus pour héberger l'exploit. Cela a notamment été le cas d'un moteur de recherche populaire, et plus prévisible de sites pornographiques qui ont distribué via la faille des chevaux de Troie.
Selon un bulletin d'alerte publié par le CERTA, la vulnérabilité de type corruption de mémoire est présente au niveau de la bibliothèque logicielle mshtml.dll utilisée par IE. Pour être piégé, un utilisateur doit donc consulter une page Web spécialement conçue.
Soins palliatifs
A défaut de recommander l'utilisateur d'un autre fureteur en attendant la correction de la faille... Microsoft propose des solutions de contournement qui permettent de bloquer les vecteurs d'attaque connus.
Parmi ces solutions, régler la sécurité du navigateur au niveau Elevé afin de tout simplement afficher un message de confirmation avant l'exécution d'un contrôle ActiveX ou d'un script, activer DEP (Data Execution Prevention) sous Vista afin d'empêcher l'exécution de code depuis des blocs de mémoire qui contiennent normalement des données. Autre palliatif avec la désactivation de la fonctionnalité d'îlot de données XML mais cela nécessite un petit tour du côté de la base de registre.
