Sécurité : Deux failles multimédias dans Windows

Microsoft a admis puis corrigé deux erreurs affectant les versions postérieures à la 6.3 de Windows Media Player (WMP), le lecteur multimédia de Windows. Des failles qui permettent soit la lecture et l'envoi de documents locaux, soit l'exécution distante de programmes.

Le premier bogue - de conception faut-il préciser - est provoqué par la création d'un raccourci WMP dans le répertoire " fichiers Internet temporaires ". Le raccourci en question est ouvert en " zone locale " et non, comme cela devrait être, en zone " Internet " isolée. Du coup, il permet l'ouverture d'un fichier HTML et l'accès, en lecture et émission, à des documents situés sur le disque de l'usager. Un problème que Microsoft affirme avoir résolu avec des rustines http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/ms01-056.asp pour Windows Media Player 6.4, 7.0, 7.1 et XP.

Le second trou de sécurité est causé par un tampon non contrôlé situé dans la partie du code gérant les fichiers .NSC correspondant au format ASF (Advanced Streaming Format). Un tel fichier forgé spécialement peut ensuite offrir la possibilité de lancer un exécutable sur la machine de la victime. Les correctifs valables pour la précédente faille résolvent aussi ce problème.

Dans tous les cas, l'intégration forcée de WMP dans Windows XP a donc ouvert une brèche supplémentaire dans les systèmes d'information des entreprises, qui n'ont que faire du lecteur multimédia.