Alerte sécurité : faille critique sur Internet Explorer

Guillaume Perissat, le 28 avril 2014 13:02 

Le laboratoire de recherche en sécurité FireEye a détecté une nouvelle faille de sécurité pour Internet Explorer. Classée critique et zero-day (déjà exploitée), cette vulnérabilité permet la prise de contrôle à distance d’une machine et touche toute les versions d’IE depuis la 6. La faille sera prochainement corrigée, mais les versions XP ne seront cependant pas supportées.

Immatriculée CVE-2014-1776 par l’éditeur, la faille réside dans une erreur de gestion de certains objets en mémoire (liée selon toute vraisemblance au fichier vgx.dll, chargé de définir un format compatible pour les objets vectoriels), permettant l’exécution de code à distance. Elle est déclenchée par l’ouverture d’une page web piégée. De type Zero-day, elle a d’ores et déjà été exploitée. FireEye mentionne une campagne d’attaques nommée « Clandestine Fox », sans en préciser les détails. 

Les hackers ont utilisé une technique d'exploitation de Flash bien connue. Le site compromis charge un fichier Flash SWF qui va corrompre un segment de mémoire et utiliser la fonction debug de IE pour contourner, via cette faille, les protections ASLR et DEP de Windows. Cette vulnérabilité permet la prise de contrôle à distance du PC de l’utilisateur par le biais d’une page web piégée. « Son exploitation donne au hacker les mêmes privilèges utilisateur sur la machine ciblée que l’utilisateur courant » signale Microsoft.

50% des internautes cibles potentielles

Les hackers n'ont aucun moyen pour forcer un internaute à visiter une page compromise. Néanmoins, les attaquants procèdent en envoyant des mails ou des messages instantanés afin d’inciter à cliquer sur un lien redirigeant l’utilisateur vers la page piégée. 

Cette faille concerne les versions d’Internet Explorer 6 à 11, ce qui représente plus de 50% des navigateurs web utilisés. Les plus visées sont les moutures 9, 10 et 11, d’autant que les deux derniers intègrent Flash par défaut. Effet boule de neige, Outlook est également touché, puisque le service de messagerie utilise le moteur d’Internet Explorer pour lire les e-mails au format HTML.

Les versions XP ne seront pas corrigées

Si Microsoft travaille à un patch, la faille ne sera pas corrigée sur Windows XP. Cela signifie que IE6 restera vulnérable, mais aussi les versions 7 et 8 du navigateur sous XP. L’OS est encore exploité par 18 % des internautes. La première solution envisagée : quitter Outlook et IE pour des systèmes plus sécurisés. 

D’autres méthodes sont proposées par Microsoft pour limiter les dégâts avant la publication de son patch. Si l’éditeur n’indique pas si l’absence de Flash empêche l’exploitation, il conseille néanmoins de désinstaller le programme qui, bien qu’il ne soit pas touché par la faille, permet aux hackers de l’exploiter. Concernant Outlook, une seule recommandation : paramétrer la messagerie afin que les messages soient lus au format texte par défaut. 

En ultime recours, il est possible de télécharger EMET 4.1 (« Enhanced Mitigation Toolkit »), un outil qui complexifie l’exploitation des failles sous Windows ou de désactiver directement l’exécution de certains scripts. Mais, comme le souligne FireEye, ces solutions comportent des inconvénients et peuvent porter atteinte au bon fonctionnement de sites de confiance. Donc on ne peut que conseiller, en attendant, de rester extrêmement prudent et de fuir tout lien suspect.