Internet Explorer 6, 7 et 8 : menace d'attaques spoofing

Plusieurs sociétés de sécurité dont Secunia ont émis un avis pour alerter les utilisateurs d'Internet Explorer au sujet de la découverte d'une vulnérabilité affectant ses versions 6, 7 et 8 pour la bêta actuellement disponible. A l'initiative de son découvreur, un certain sirdarckcat, un code preuve de concept a été publié.

En langage sécuritaire qui peut parfois paraître sibyllin, le problème est dû à une erreur de validation présente au niveau des cadres ou frames, dont les représentants les plus connus sont aujourd'hui les iframes, et des propriétés " location " que des attaquants distants peuvent exploiter pour rendre inopérantes les restrictions de sécurité d'IE, et ainsi avoir accès à des informations jugées sensibles comme celles contenues dans les cookies.


Attaque par spoofing
De façon plus explicite, cette vulnérabilité peut être exploitée pour charger du contenu malicieux dans une frame depuis un site de confiance. Une attaque par spoofing donc. Un site Web peut modifier l'emplacement d'une frame dans une fenêtre en mettant cet emplacement dans un objet plutôt que dans une chaîne de caractères.

Une frame qui existe dans un domaine différent ne devrait pas être capable d'accéder aux cookies d'un document parent ou au contenu HTML, ou autre domaine spécifique de composants DOM. Cependant, des composants ne sont pas liés à un domaine spécifique comme l'évènement OnMouseDown déclenché lors d'un clic avec un bouton de la souris. En surveillant cet événement particulier, une iframe peut capturer les frappes au clavier d'un document parent. D'autres actions sont également possibles explique l'US-CERT.

En attendant la publication d'un correctif de sécurité, la solution de contournement passe par la désactivation de... JavaScript.