Une série de cinq failles critiques frapperait Internet Explorer sans qu’un correctif ne soit disponible pour les neutraliser. Il s’agirait de variantes de vulnérabilités corrigées par la dernière rustine de Microsoft. Des exemples d’exploits fonctionnels circulent déjà sur Internet.
Cinq failles critiques viendraient d’être découvertes dans Internet Explorer, sans qu’il ne soit encore possible de les corriger. Elles sont basées sur des vulnérabilités déjà corrigées par le dernier patch de Microsoft.L’une des attaques exploite la manière dont Internet Explorer gère les adresses commençant par « mhtml: », un standard conçu à l’origine pour faciliter l’intégration de code HTML dans les emails. Cette implémentation était déjà à l’origine d’une faille bien connue dans Outlook, découverte plus tôt cette année. Aujourd’hui, la faille pourrait permettre à un site web malicieux de manipuler des fichiers sur le disque dur de l’internaute ou d’y télécharger et d’y exécuter un code parasite.Une autre de ces découvertes est de type « Cross Site Scripting », un classique pourtant. Elle permettrait de faire exécuter un script au navigateur avec les droits normalement alloués à la zone locale du système, plus permissive.Les autres vulnérabilités permettraient d’explorer le cache du navigateur ou de prendre (en partie) le contrôle du navigateur à distance. Mais l’alerte n’est pas très prolixe sur le sujet.Ces vulnérabilités ont étés découvertes par Liu Die Yu, un traqueur de bugs chinois bien connu. Bon timing : ce dernier viens de faire publier, il y a quelques jours à peine, un appel à la communauté d’Internet afin de lui obtenir un PC. Il aurait en effet perdu le sien et n’aurait pas les moyens d’en acheter un nouveau. L’annonce de cette série de failles tombe au bon moment, question publicité !Nous n’avons pas testé ces vulnérabilités, annoncées pour Internet Explorer 5.01, 5.5 et 6. Mais des « preuves de concept » existent et des exploits circuleraient sur Internet. Cela nous a été confirmé par l’équipe de K-Otik, qui affirme avoir testé avec succès ces exploits. Pour l’heure, le seul moyen de s’en protéger est de désactiver le scripting d’Internet Explorer, en attendant le prochain correctif mensuel de Microsoft.