Faille 0 day critique dans Internet Explorer
Microsoft a reconnu qu’une faille de sécurité critique affectait Internet Explorer. L’éditeur a également reconnu que cette vulnérabilité avait été utilisée dans IE 6 pour mener les attaques contre Google et d’autres sociétés américaines. Cependant, ce sont bien les versions 6, 7 et 8 du navigateur sur Windows XP, Server 2003, Vista, Server 2008, 7 et Server 2008 R2 qui sont affectées.
Les recommandations de Microsoft pour réduire les risques d’exploitation de la faille : mettre les zones de sécurité sur « haut » et activer la fonction DEP. Cette fonction est paramétrée par défaut dans IE 8, mais doit être activée manuellement dans les versions antérieures du navigateur.
Cependant, certains sont pour des recommandations plus radicales. Ainsi, le BSI allemand recommande l’utilisation temporaire d’un navigateur alternatif.
MÀJ du 16 : Le CERTA, placé auprès du Premier ministre, rattaché au Secrétariat général de la Défense nationale au sein de l’Agence nationale de la sécurité des systèmes d’information, « dans l’attente d’un correctif de l’éditeur, (…) recommande l’utilisation d’un navigateur alternatif. » Il ne doit plus y avoir d’IE dans l’administration — en attendant, cependant…
Sources et références
- La Tribune, Les failles d’Internet Explorer exploitées dans l’attaque contre Google, 15 janv. 2010
- Écrans, Google attaqué, c’est la faute à Microsoft, 15 janv. 2010, Camille Gévaudan (citations de McAfee)
- 01net., L’éditeur McAfee démontre qu’une faille dans Internet Explorer est l’un des vecteurs de l’attaque contre Google, 15 janv. 2010, Éric Le Bourlout (citations de François Paget de McAfee)
- The Microsoft Security Response Center, Security Advisory 979352 Released, 14 janv. 2010, Mike Reavey
- Microsoft, Microsoft Security Advisory (979352): Vulnerability in Internet Explorer Could Allow Remote Code Execution, 14 janv. 2010
- BSI, Kritische Sicherheitslücke im Internet Explorer, 15 janv. 2010, communiqué de presse
- CERTA, Vulnérabilité dans Microsoft Internet Explorer, 15 janv. 2010