Faille Internet Explorer : le moteur de script encore touché

Une faille de plus dans le moteur de script d'Internet Explorer.

Microsoft en a fait état vendredi 17 janvier. sans fournir de correctif.

La vulnérabilité réside dans la gestion des objets en mémoire. Elle peut permettre l'exécution distante de code avec le niveau de privilèges de la session en cours.

Toutes les versions du navigateur encore prises en charge sont touchées :

• IE 9, 10 et 11 sur Windows Server 2008 à 2019 (importance « modérée » de par les protections intégrées)
• IE 11 sur Windows 7, Windows 8.1 et Windows 10 (importance « critique »)

Sont également exposées les applications qui embarquent le moteur de script d'Internet Explorer. Entre autres, les applications Office, qu'on peut autoriser à afficher du contenu web.

La même avec Firefox

Microsoft dit avoir connaissance d'attaques ciblées « de portée limitée ».

Il recommande une mesure de contournement qui peut toutefois susciter des problèmes de compatibilité. En l'occurrence, restreindre l'accès à la bibliothèque jscript.dll, sur laquelle s'appuient certains sites (par défaut, IE utilise jscript9.dll, non concerné par la faille).

La semaine dernière, Mozilla a corrigé une faille du même type (CVE-2019-17026) dans Firefox.

L'entreprise chinoise créditée de la découverte avait évoqué une autre vulnérabilité similaire présente dans Internet Explorer. Peut-être s'agit-il de celle que Microsoft vient de révéler.

Ce n'est pas - et de loin - la première fois que le moteur de script d'IE est touché. Le dernier correctif que Microsoft lui ait apporté remonte au Patch Tuesday de novembre 2019. L'avant-dernier remonte à septembre, hors du cycle du Patch Tuesday.

Au dernier pointage de StatCounter, Internet Explorer reste installé sur 7,42 % du parc PC mondial (- 0,52 point sur l'année 2019). Net Applications, qui n'a pas la même méthodologie, lui attribue 1,57 % (- 0,98 point).

Logo © Microsoft