Windows Vista a été l'occasion pour Microsoft de se concentrer sur la sécurité de son système. Même si les efforts fournis sont parfois décriés, les nouveautés sont réelles. Pourtant, tous les mécanismes mis en place pourraient être compromis par l'exploitation d'une seule faille. C'est lors de la Black Hat USA 2008, une conférence sur la sécurité  informatique, que deux ingénieurs ont révélé l'information. Mark Dowd, d'IBM et Alexander Sotirov de VMWare ont dévoilé qu'il était possible d'exécuter du code arbitraire dans Windows Vista en passant par les failles des navigateurs Web, grâce à des scripts Java, .NET ou des contrôles ActiveX.

Le problème vient du fait que ces attaques seraient réutilisables à chaque nouvelle faille découverte dans les navigateurs ou dans les logiciels utilisés par ceux-ci - par exemple Flash.  C'est en effet l'architecture du système d'exploitation et sa manière de se protéger qui le permettraient. Tout n'est cependant pas noir car certains mécanismes de défense permettent de relativiser la portée des attaques. Par exemple, Internet Explorer, en mode Protégé, peut parfois empêcher l'écriture de fichiers par le code malveillant, sauf autorisation de l'utilisateur bien évidemment. Le problème peut malgré tout prendre de l'ampleur  : des personnes pourraient  outrepasser les dernières protections en se servant par exemple d'objets .NET certifiés sûrs pour exécuter du code malveillant.

Les deux comparses ont tout de même déclaré que les mécanismes inclus dans Vista étaient une bonne chose et permettaient de mettre la barre plus haut pour l'attaquant. Microsoft attendrait d'avoir davantage d'informations pour mettre en place une stratégie de correction. Notons aussi que ce problème est tellement générique qu'il pourrait affecter d'autres systèmes d'exploitation, mais cela n'a pas encore été vérifié.
Source : SearchSecurity