La musique qui tuait Windows

Windows n'est pas mélomane : à trop écouter de musique au format MIDI, il risque d'ouvrir la porteporte aux pirates en tout genre.
Le fautif ? DirectX, cet ensemble d'outils bien connus des adeptes de jeu vidéo, présent depuis très longtemps dans le système d'exploitation. DirectX facilite la création de jeux en offrant à leurs concepteurs un accès normalisé aux ressources graphiques et sonores du PC. Grâce à lui, plus besoin de développer les programmes spécifiquement pour telle carte graphique ou telle carte son : demandez à DirectX d'afficher ceci ou de jouer cette musique, et il s'en charge, quel que soit le matériel disponible !
Hélas, la routine censée jouer les musiques au format MIDI (ces horribles sons aux relents d'orgue électronique bon marché), est mal conçue. La société eEye DigitalDigital Security vient d'y découvrir deux dépassement de mémoire tampon qui, correctement exploités, peuvent laisser un pirate exécuter n'importe quoi sur le PC de sa victime, à distance.

La faille est grave car les musiques MIDI placées sur un site web se chargent et s'exécutent automatiquement à l'arrivée de l'internaute. Pareil si la mélodie est intégrée à un email au format HTMLHTML : le simple fait de lire le courrier, ou même de le pré-visualiser, suffit à lancer l'attaque.

Bref, grâce à cette faille, il est possible d'être piraté automatiquement et sans bruit, en surfant sur un site malveillant ou un lisant un courrier. De fait, MicrosoftMicrosoft la considère Critique, et a publié tous les correctifs nécessaires.

La vulnérabilité concerne DirectX 5.2, 6.1, 7.0, 8.1 et 9.Oa, sur toutes les versions de Windows (toutes les versions de DirectX ne sont pas concernées sur chaque édition de Windows... il est nécessaire de se référer au tableau fourni par Microsft dans son alerte). En outre, Windows NT 4 avec Windows Media Player 6.4 ou InternetInternet Explorer 6 Service PackPack 1 d'installé est aussi vulnérable, même si l'administrateur n'a pas installé DirectX lui-même.