C'est une première. Publiés hier, deux avis de sécurité détonnent parmi ceux que Microsoft a pour habitude de faire paraître. Ils sont en effet relatifs à des vulnérabilités de sécurité critiques affectant des produits tiers, et en l'occurrence les navigateurs Google Chrome et Opera.

Les failles évoquées ont été corrigées depuis de nombreux mois par les éditeurs concernés puisque sont évoqués les versions 6.0 de Google Chrome et antérieures pour une faille, et les versions 8.0 et 10.6 ( et antérieures ) de Chrome et Opera pour l'autre faille.

Ce sont des chercheurs en sécurité de Microsoft qui ont mis au jour ces vulnérabilités pour lesquelles Google et Opera Software ont été prévenus de manière confidentielle. Les avis de sécurité sont publiés en tant que MSVR pour Microsoft Vulnerability Research.

Si une attaque a lieu, Microsoft publiera le cas échéant un avis de sécurité relatif à un produit tiers avec généralement des informations sur des mesures de contournement. Néanmoins, une telle publication s'effectuera toujours dans le cadre d'un travail coordonné avec l'éditeur tiers. C'est la philosophie de divulgation coordonnée des vulnérabilités évoquée l'année dernière qui est ici mise en pratique.

Depuis novembre 2010, Microsoft impose par ailleurs à ses employés de rapporter des failles dans des produits tiers via le programme MSVR, même si elles ont été découvertes en dehors de leurs heures de travail.

" En travaillant ensemble grâce à des efforts coordonnés quand des vulnérabilités sont identifiées, nous  pouvons diminuer efficacement le risque pour le client alors qu'une solution est développée ", déclare le responsable de la sécurité informatique de confiance de Microsoft et d'encourager les autres à adopter une telle philosophie.

On se souviendra que l'année dernière Microsoft avait froncé les sourcils suite à l'initiative d'un ingénieur en sécurité de Google qui avait publié des informations sur une vulnérabilité Windows avant qu'un correctif ne soit prêt. Tavis Ormandy avait cependant précisé avoir agi à titre personnel ( sans lien avec Google ).