[INFO] Faille WMF : point d'étape

(réponses transférées sur microsoft.public.fr.securite)

Bonjour à tous,

Il est temps, je crois, de faire le point sur la faille WMF/SHIMGVW.DLL
(SHell IMaGe VieWer) :

1) Cette faille était déjà exploitée depuis environ 15 jours, 1 mois. (avant
que les médias ne s'emparent de l'affaire)

2) Elle est _extrêmement critique_ et concerne I.E., mais aussi FF et d'autres
navigateurs alternatifs. (elle n'attaque pas le navigateur lui-même, mais
un des éléments qui sert à traiter les images)

3) De nombreuses variantes existent. La plupart des éditeurs antivirus ont
mis à jour leurs bases de signature.

Une video démontre le caractère critique du problème et certains pourraient
bien y reconnaître un aperçu de leurs propres soucis :
http://msmvps.com/blogs/docxp/archi...Video.aspx

Microsoft a publié un bulletin d'alerte :
http://www.microsoft.com/technet/se...12840.mspx

Et propose, faute de mieux pour le moment, une solution qui vous couvrira
(mais pas à 100 %) :

A) Démarrer > Exécuter : regsvr32 /u shimgvw.dll

Cette commande va produire des effets secondaires. Les plus notables sont
l'arrêt du fonctionnement de l'aperçu des images et télécopies, la perte de
l'affichage des miniatures ainsi que la perte de la fonctionnalité "pellicule"
dans les dossiers d'images.

Vous ne serez pas couvert par le désenregistrement de shimgvw.dll si vous
ouvrez un WMF dans MSPaint !

La commande inverse est :

regsvr32 shimgvw.dll

Evidemment, elle réactive la faille en question et ne sera à appliquer
qu'une fois le patch sorti. (à moins que le patch ne s'occupe de le faire)

B) Bien sur, mettez à jour votre anti-virus !

Méfiez-vous de TOUS les formats d'image, un WMF dangereux renommé (par
exemple) en GIF ou en JPG reste dangereux !

Pour le moment, cette faille est utilisée pour installer des spywares ou des faux
anti-spywares (qui vous nettoient contre des $$$$$$), il est très possible qu'elle
soit exploitée dans un futur proche pour installer des trojan et d'autres malwares.

Donc, exécutez les 2 points A) et B) et vous serez couverts à 98 %. Les 2 %
restant seront évités avec un peu de bon sens ;-)

Avec un peu de chance, un patch sera diffusé le Mardi 10 Janvier 2006 vers
20 heures. D'ici là, prenez vos précautions !

Pour les techniciens, des infos actualisées régulièrement sont disponibles sur le
blog de F-Secure :
http://www.f-secure.com/weblog/

Bon réveillon !

--
~Jean-Marc~ MVP Shell/User Fr
M'écrire : http://msmvps.com/blogs/docxp/contact.aspx
- http://docxp.mvps.org - http://msmvps.com/blogs/docxp/ -
Aide en DIRECT sur Internet : http://communautes-ms.akro-net.org/