Deux nouvelles failles se cachent sous Internet Explorer

Découvertes par http-equiv et relatées par Secunia, les deux failles au sein du navigateur Internet Explorer de Microsoft peuvent permettre à une personne malintentionnée de piéger un système, puis d’accéder à des ressources locales, et même de contourner la protection de Windows XP SP2.

La première faille porte sur un défaut dans la validation des événements de ‘déplacer ? déposer’, drag ans drop, d’une image valide ou d’un fichier média avec une extension en code html. Cette copie d’image se déroule entre une zone Internet et une ressource locale. Le code html peut cacher un script qui s’exécutera en local dans la zone ‘Local Computer‘. A noter que Windows XP SP2 ne permet pas l’exécution d’Active Scripting dans cette zone. La seconde faille provient d’une erreur dans la restriction de la zone de sécurité, où un fichier index ‘.hhk’ de contrôle de l’aide html Help peut exécuter en local des documents html. C’est cette faille qui permet d’outrepasser le blocage de sécurité de SP2 dans la zone ‘Local Computer’. La combinaison de ces deux failles dans un modèle ADO (ActiveX Data Object) permet d’écrire des fichiers qui peuvent être exploités afin de corrompre un système. Microsoft ne semble pas encore avoir publié de correctif. En attendant, quelle solution peut-on proposer ? Désactiver Active Scripting ou changer de navigateur !