Une faille critique frappe tous les Windows

La faille se cache dans quelques lignes de code au coeur de Windows. Elle frappe une fonction chargée de convertir, visualiser ou exporter des documents au format HTML.

En lui soumettant une demande de conversion "travaillée" de façon particulière, un pirate peut neutraliser cette fonction propre à tous les Windows, et forcer le système d'exploitation à exécuter à sa place n'importe quel programme. Et cela bien sûr avec les droits de l'utilisateur connecté au moment de l'attaque.

Facteur aggravant : cette fonction est utilisée tant par Internet Explorer que par Outlook Express. Pour lancer son attaque, il suffit donc à un pirate de placer une page web piégée sur son site, ou de l'envoyer à sa victime sous la forme d'un email au format HTML. Le système tombera dans le piège, même mis à jour avec les tous derniers correctifs, y compris le tout récent Service PackPack 4 pour Windows 2000.

Toutes les versions de Windows sont concernées par ce défaut, de Windows 98 première édition à la toute récente édition Server 2003. Cette dernière n'est cependant pas vulnérable d'emblée, tant que les réglages de sécurité par défaut n'ont pas étés modifiés.

MicrosoftMicrosoft a publié des correctifs pour toutes les versions du système d'exploitation encore supportées. Les utilisateurs de Windows 95 ou de Windows NT 4 Workstation n'ont donc guère de recours. Pour les autres, il est vivement conseillé d'appliquer ce correctif critique.

Il sera également intégré dans le Service Pack 5 de Windows 2000, le Service Pack 2 de Windows XPWindows XP et le Service Pack 1 de Windows Server 2003.

Plus d'infos : L'alerte de Microsoft, qui contient aussi les liens pour télécharger les correctifs