Acte manqué : Trois failles critiques de plus pour Microsoft

Décidément, Microsoft a du pain sur la planche pour mener à bien son projet Trustworthy Computing (l'informatique sûre). Trois nouvelles failles de sécurité classées critiques viennent d'être découvertes dans Commerce Server 2000, SQL Server 2000, Windows XP, Internet Explorer 5 et 6. Dans la terminologie employée par Microsoft, "critique" désigne un trou de sécurité exploitable alors qu'un logiciel est configuré par défaut ou en mode sécurisé.

La première faille réside dans les fonctions d'authentification AuthFilter ISAPI de Commerce Server 2000, une extension du serveur Web IIS pour les sites d'e-commerce. Ces fonctions sont utilisées lorsque le visiteur accède à son compte personnel. La faille permet à un attaquant de prendre le contrôle d'un serveur.

Le deuxième trou de sécurité affecte le module de transmission de données XML par http (XMLHTTP) de Sql Server 2000, Windows XP et Internet Explorer 6. Cette faille permet à un site Web d'accéder au contenu du disque dur d'un visiteur. Un risque également encouru par les utilisateurs d'Internet Explorer versions 5.01 et supérieures, dont le module VBScript reste vulnérable.

Les correctifs pour ces trois failles sont disponibles sur le site de Microsoft.

Depuis l'annonce en janvier 2002 du projet Trustworthy Computing, qui met la sécurité au cour des préoccupations de Microsoft, 15 correctifs de sécurité ont été publiés contre 70 sur la totalité de 2001. Un seul, toutefois, concerne une faille découverte par Microsoft lui-même (celle affectant Commerce Server 2000) bien que ses équipes de développement fassent la chasse aux bogues depuis plus de deux semaines.