Faille : cumulatif critique pour Internet Explorer

Une rustine cumulative corrige trois trous de sécurité jugés critiques sur toutes les plate-formes - mis à part 2003 Server compte-tenu de ses paramétrages particuliers - et nécessitant une application relativement rapide.

Fait très inhabituel, l'alerte qui porte l'immatriculation MS03-040 a été publiée tard vendredi soir dernier* (pour les Etats-Unis), laissant ainsi entendre que l'accouchement de cette rustine aurait été "forcé" par la découverte d'un exploit ou d'une fuite probable. Ceci serait confirmé par l'absence de "copyright" de faille en bas de bulletin.

Certes, les équipes sécurité de MS travaillent et découvrent quotidiennement des accidents de code. Mais en général, ces failles sont rapportées par des chasseurs indépendants, ou du moins des ingénieurs extérieurs à Microsoft. Si l'inventeur du problème a communiqué clairement son savoir et surtout respecté jusqu'au bout les principes de non-divulgation imposés par l'éditeur, son nom et un lien de référence figurent au bas du bulletin d'alerte. Ces conditions peuvent paraître draconiennes, mais, comparativement aux autres "grands" du logiciel, Microsoft fait finalement preuve d'une ouverture d'esprit relativement large.

Dans la plupart des cas, l'existence du découvreur de chausse-trappes logiciels n'est ni mentionnée, ni reconnue.

(*) A l'attention de nos lecteurs prenant le train des alertes Microsoft en cours de route, il est de tradition, du coté de Seattle, de publier les alertes dans la journée du mercredi, heure américaine. Cette pratique permet aux principaux RSSI de disposer des correctifs en milieu de semaine, après le "coup de feu" du début de semaine et le relâchement précédant le week-end.