Une nouvelle faille de sécurité d'Internet Explorer

Des « hackers » ont découvert une nouvelle vulnérabilité du navigateur Internet Explorer et ont publié le code qui pourrait être exploité par des individus malveillants.

Une erreur dans un contrôle ActiveX

La faille est similaire à celle que Microsoft a comblée avec son patch du mois dernier et qui affectait un composant multimédia d’Internet Explorer, explique Vincent Hwang, directeur produit chez Symantec. Elle est due à une erreur dans un contrôle activeX qui pourrait être aisément exploitée par des pirates qui, en créant une page Web contenant un code malicieux, pourraient exécuter une corruption-mémoire et prendre le contrôle d’un ordinateur infecté.

Une faille simple à découvrir

Les hackers qui ont mis en ligne un bout de code exploitant la faille sur le site xsec.org n’ont pas eu trop mal à la trouver. Ils se seraient apparemment servis d’outils de tests automatisés des ActiveX tel que AxMan qui a déjà permis de mettre en évidence de nombreux bogues d’Internet Explorer. D’après le créateur de ce logiciel, la vulnérabilité en question était particulièrement simple à découvrir.

Toutes les versions de Windows sont touchées

Les éditeurs d’antivirus et les firmes de sécurité ont qualifié cette faille de critique, bien que personne ne l’ait encore exploitée. Elle touche les versions 5.01 et 6 d’Internet Explorer sur toutes les versions actuelles de Windows, d’après FrSIT, Microsoft précisant toutefois que Windows 2003 fonctionnant avec une configuration de sécurité étendue n’est pas affecté.

Microsoft qui étudie le problème pourrait corriger le bogue dans le cadre de sa mise à jour mensuelle, mais en attendant la seule protection est de désactiver l’ActiveX et les contrôles de scripts actifs.