Faille critique non corrigée pour Internet Explorer

Cette nouvelle faille découverte au coeur du navigateur Internet Explorer ne vient pas vraiment arranger les affaires de MicrosoftMicrosoft : le Service PackPack 2 "spécial sécurité" pour Windows XPWindows XP est tout juste sorti que déjà l'on découvre une vulnérabilité critique faisant fi de ses nouveaux verrousverrous, du moins dans sa configuration d'origine.

Le piège se situe cette fois-ci dans la fonction de glisser-déposer du navigateur, qui ne parvient à valider correctement les éléments tirés d'une zone (Internet, en l'occurrence) vers une autre (la zone locale, bien sûr). Cela permet au pirate de dissimuler un programme exécutable sur un site web, le faisant passer pour une image ou un vulgaire texte défilant par exemple, et de convaincre les internautes de "tirer" cet objet d'une partie de l'écran vers une autre. A ce moment le programme exécutable sera téléchargé silencieusement dans le dossier de démarrage de Windows, où il attendra patiemment le prochain démarrage pour s'installer définitivement.

Il n'existe aucun correctif à cette faille, bien qu'elle semble être déjà bien utilisée sur Internet. Même s'il ne corrige rien, le Service Pack 2 pour Windows XP permet cependant de contourner le piège grâce à l'une des nouvelles options de sécurité qu'il offre à Internet Explorer : il suffit d'interdire aux scripts d'adopter le comportement de programmes binaires (option "binary behaviors").