Faille : l'URL spoofing d'IE corrigée

La faille découverte par Zap the Dingbat en décembre dernier, et qui fut à l'origine d'au moins un vecteur viral et de 4 ou 5 escroqueries à la "fausse page" d'accès bancaire vient enfin d'être colmatée. Elle fait d'ailleurs l'objet d'un correctif cumulatif référencé MS 04-004, lequel colmate également un trou relativement critique permettant un viol de système par le truchement d'une exécution de script inter-domaines, et une opération de glisser-déplacer à l'aide de la souris qui n'ouvre aucune fenêtre de dialogue prévenant d'un téléchargement potentiellement dangereux. Un Web "pirate" pourrait exploiter ce dernier défaut sans grande difficulté.

Ces défauts de sécurité touchent l'ensemble des plates-formes Internet Explorer quel que soit le noyau concerné, de NT 4.0 à Windows Server 2003 édition 64 bit. Seules les restrictions appliquées à la "zone locale" de 2003 Server dans le cadre d'une configuration "par défaut" non modifiée atténuent la dangerosité de ces problèmes.

Les correctifs sont à appliquer rapidement, après exécution des procédures de tests de non-régression. Lesquels devraient ne révéler aucun problème si l'on en juge par le temps nécessaire à leur publication.

De tous les dysfonctionnements d'I.E. ici rectifiés, la faille "URL Spoofing" aura été celle qui aura provoqué le plus de rebondissements. Découverte par un "non-informaticien/non-hacker" (un graphiste ! presqu'un "artiste" !), initialement pressentie pour être corrigée dans le futur SP2 de Windows XP, colmatée "à la hussarde" par des éditeurs tiers espérant ainsi remporter une victoire médiatique, sa correction "officielle" sera retardée pour incompatibilité d'humeur avec certaines applications de gestions et quelques développements "métier" utilisant les mécanismes de passation de crédence "login-password" au fil d'une URL. Le "bug fix" sera finalement "poussé" vers la sortie sous la pression d'une éventuelle montée en charge du virus Dumaru et une grogne de plus en plus hargneuse montant des hordes de responsables "sécurité" et de consultants américains. Ajoutons que cette partie de rustine 04-004 peut également s'enorgueillir d'une autre distinction : avoir chamboulé le bel ordonnancement du calendrier de publication des "correctifs mensuels" souhaités par Microsoft, en sortant le 2 février, près de 10 jours avant la date prévue.