Failles : Trois ''petits'' trous chez Microsoft

Microsoft vient de publier son bulletin mensuel d'alertes, signalant la découverte et la correction de trois inconsistances d'une dangerosité relativement modérée. La plus "amusante" - entendons par-là celle dont l'exploitation semble la plus simple - concerne Outlook 2002, dont la fonction Mailto interprète sans filtrage, automatiquement, et en compte "local machine", tout ce qui suit une macro "" ;" (mailto:aa" /profile "xx" précise le communiqué de Jouko Pynnönen. Le site de Jouko semble connaître quelques problèmes de liens, un comble pour un chasseur de failles. Fort heureusement, le communiqué non expurgé est relayé par iDefense et l'alerte de Microsoft 04-009 pointe sur les rustines salvatrices. A noter que les "workaround" indiqués par l'éditeur ne s'avèrent pas très pratiques : abandonner la configuration d'affichage "par défaut" d'Outlook, une page rarement modifiée par les usagers, et se convertir à la lecture des fichiers en mode texte... deux sages habitudes que seuls les utilisateurs "avertis" respectent, mais que le grand public n'envisage absolument pas.

Les autres problèmes corrigés concernent notamment une possibilité d'indiscrétion par le biais de MSN Messenger. En connaissant l'identifiant MSN de l'utilisateur distant et en forgeant une requête, un attaquant peut avoir accès en lecture à certains documents situés sur le poste vulnérable. Un tout petit peu plus de détails au fil du bulletin 04-010.

La dernière faille, référencée 04-008, affecte le service Windows Medias (partie « station ») sous 2000 Server SP 2 à 4. Des paquets IP forgés peuvent conduire à un déni de service, mais apparemment pas à la moindre possibilité d'interprétation locale.