Cybersécurité - Innovations digitales et numériques

La vulnérabilité CVE- 2014-1815 est une vulnérabilité « drive-by » standard qui peut être déclenchée en incitant les utilisateurs d'IE à visiter un site web malveillant ou compromis. Si un utilisateur se connecte à un tel site avec une version non corrigée d'Internet Explorer, l'exploit entre en action : il prend immédiatement le contrôle du PC et copie un logiciel malveillant sur le disque dur. Étant donné que les versions IE6, IE7 et IE8 de Windows XP ne seront pas corrigées, les utilisateurs resteront vulnérables à ces attaques sournoises à perpétuité. La plupart des professionnels de la sécurité invitent vivement ceux qui veulent conserver XP à opter pour d'autres navigateurs toujours éligibles à des mises à jour, comme c'est le cas de Chrome, de Firefox et d'Opera. Selon une enquête réalisée par nos confrères de Computerworld, les utilisateurs de XP peuvent considérablement réduire leur risque en abandonnant IE.

Vupen a par exemple remporté 100 000 dollars pour la démonstration et l'exploitation d'une faille 0-day au sein d'IE 11. Elle lui a permis, en combinant plusieurs bugs et vulnérabilités, à contourner la sandbox d'IE sur une version patchée de Windows 8.1.

Et ce, même si le fondateur de Vupen, Chaouki Bekrar, confirme qu'il est devenu "plus difficile de casser les navigateurs, surtout sur Windows 8.1. L'exploitation est plus difficile et la recherche de failles 0-day plus compliquée."

Idem pour Firefox, que Vupen a fait tomber, visiblement non sans difficulté. Une faille 0-day qui a nécessité "60 millions de tests". Ce qui montre, selon Bekrar, que "Firefox a fait un bon travail en réparant ses failles, comme Chrome. Chrome a la sandbox la plus sécurisée, donc c'est encore plus difficile de créer des exploits."

Selon un article publié par le portail Computerworld, la décision de Microsoft de mettre fin au soutien technique de plusieurs versions de son fureteur Internet en même temps constitue une répudiation d’une politique qui a été établie par l’éditeur il y a dix ans.

La découverte a fait grand bruit : en début de semaine, Microsoft a signalé l'existence d'une faille de sécurité critique au sein des différentes versions de son navigateur, Internet Explorer. Exploitable par l'intermédiaire du lecteur Flash, celle-ci a même poussé le centre d'alerte aux attaques informatiques du département de la sécurité intérieure des Etats-Unis (US-CERT) à conseiller aux utilisateurs concernés de migrer vers un autre navigateur, le temps que la vulnérabilité soit comblée.

La faille en question est déclenchée par l’ouverture d’une page Web malicieuse ou d’un e-mail piégé. Son exploitation peut donner lieu à une exécution de code à distance ; en d’autres termes, une prise de contrôle de la machine ciblée, avec le niveau de privilèges de la session en cours.