Cinq failles critiques ignorées dans Internet Explorer

Cinq failles critiques viendraient d'être découvertes dans Internet Explorer, sans qu'il ne soit encore possible de les corriger. Elles sont basées sur des vulnérabilités déjà corrigées par le dernier patch de MicrosoftMicrosoft.

L'une des attaques exploite la manière dont Internet Explorer gère les adresses commençant par "mhtml:", un standard conçu à l'origine pour faciliter l'intégration de code HTMLcode HTML dans les emails. Cette implémentation était déjà à l'origine d'une faille bien connue dans Outlook, découverte plus tôt cette année. Aujourd'hui, la faille pourrait permettre à un site web malicieux de manipuler des fichiers sur le disque dur de l'internaute ou d'y télécharger et d'y exécuter un code parasiteparasite.

Une autre de ces découvertes est de type "Cross Site Scripting", un classique pourtant. Elle permettrait de faire exécuter un script au navigateur avec les droits normalement alloués à la zone locale du système, plus permissive.
Les autres vulnérabilités permettraient d'explorer le cache du navigateur ou de prendre (en partie) le contrôle du navigateur à distance. Mais l'alerte n'est pas très prolixe sur le sujet.

Ces vulnérabilités ont étés découvertes par Liu Die Yu, un traqueur de bugsbugs chinois bien connu. Bon timing : ce dernier viens de faire publier, il y a quelques jours à peine, un appel à la communauté d'Internet afin de lui obtenir un PCPC. Il aurait en effet perdu le sien et n'aurait pas les moyens d'en acheter un nouveau. L'annonce de cette série de failles tombe au bon moment, question publicité !

Nous n'avons pas testé ces vulnérabilités, annoncées pour Internet Explorer 5.01, 5.5 et 6. Mais des "preuves de concept" existent et des exploits circuleraient sur Internet. Cela nous a été confirmé par l'équipe de K-Otik, qui affirme avoir testé avec succès ces exploits. Pour l'heure, le seul moyen de s'en protéger est de désactiver le scripting d'Internet Explorer, en attendant le prochain correctif mensuel de Microsoft.