Source : le Monde
Un défaut permettrait une exploitation à des fins malveillantes d’Internet Explorer
Après Heartbleed, la faille qui a fait souffler un vent de panique sur le Web il y a quelques jours, une autre faiblesse de sécurité menace les internautes du monde entier. Plus problématique, elle concerne Internet Explorer, le navigateur de Microsoft, qui fait figure de dinosaure auprès des plus ” geeks ” des internautes mais reste très utilisé. Selon des chiffres publiés en début d’année par NetMarket Share, le navigateur historique de la firme de Seattle domine encore le paysage du Net avec 58 % de parts de marché dans le monde, loin devant Firefox de Mozilla (18,35 %) et Chrome de Google (16,22 %).
La faille est suffisamment préoccupante pour qu’une agence fédérale chargée de la sécurité informatique recommande aux internautes américains d’utiliser d’autres navigateurs pour surfer, ” le temps qu’une nouvelle version officielle soit disponible “.
L’agence affirme avoir connaissance d'” exploitation active ” de la faille de sécurité dans Internet Explorer. En clair, cela signifie que des données ont pu être piratées et des ordinateurs contrôlés à distance par le biais de cette faille.
Plus inquiétant, les utilisateurs du système d’exploitation Windows XP, dont les mises à jour ont été définitivement arrêtées début avril par Microsoft, ne recevront pas de correctif de sécurité pour ce type de problème. ” Mais la faille cible principalement les versions 9 à 11 d’Internet Explorer, explique Paul-Henri Huckel, responsable veille et réponse à incident chez Lexsi, qui ne sont disponibles que sous Vista, ce qui minore un peu son impact. “
Microsoft a toutefois indiqué qu’il prévoyait de fournir un ” patch ” correctif dans une mise à jour du navigateur qui devrait être disponible dans les prochaines semaines. En revanche, ce correctif ne s’appliquera qu’à Windows Vista et au-delà : les ” retardataires ” devront se mettre à la page.
En attendant, la parade est simple, il suffit d’utiliser un autre navigateur ou de se munir d’un outil de sécurité de Microsoft déjà disponible gratuitement, nommé Enhanced Mitigation Experience Toolkit, ” un outil efficace selon les tests qui ont été menés “, explique M. Huckel, mais qui a la réputation de rendre toute navigation sur Internet particulièrement pénible.
Selon les chiffres de NetMarket Share, environ un quart des internautes dans le monde utilisent une version d’Internet Explorer exposée à la faille.
La société FireEye, spécialisée dans la sécurité informatique, a revendiqué la découverte de la vulnérabilité et souligné, samedi dans un post de blog, que cette faille était du type ” zero day “, c’est-à-dire qu’elle n’est comparable à aucune autre déjà vue sur le Web, ce qui pourrait rendre plus complexe la mise au point d’un correctif, même si la technique utilisée est déjà connue des spécialistes.
Concrètement, a expliqué Microsoft, la vulnérabilité concerne ” la façon dont Internet Explorer accède à un objet dans une mémoire qui a été supprimée ou qui n’a pas été correctement allouée ” : l’internaute se laisse piéger en visitant simplement un site Internet malveillant, sans avoir besoin de télécharger un fichier infecté. Cliquer sur le mauvais lien suffit à créer un canal entre la mémoire de l’ordinateur et le site malveillant.
Une fois les pirates infiltrés, ils peuvent accéder librement à tous les fichiers et espionner l’activité du terminal. Et si l’ordinateur est connecté à un réseau d’entreprise, les hackers peuvent aussi y avoir accès. ” La propagation par le biais des réseaux est le principal danger “, insiste M. Huckel.
Windows XP n’est pas seulement utilisé dans les foyers, il est aussi omniprésent à l’extérieur : dans les distributeurs automatiques de billets ou encore certains terminaux de paiement. Les messageries Outlook et Windows Mail pourraient être touchées.
Un porte-parole de FireEye a précisé que les cibles étaient des entreprises sises aux Etats-Unis, liées aux secteurs de la défense et de la finance.
Audrey Fournier