Sécurité : Microsoft lance une alerte pour une vulnérabilité dans Word

L’information est confirmée par Microsoft. Un ‘patch‘ va être publié prochainement. Précisons que le prochain « patch tuesday » est prévu le 8 avril 2008.

Les versions Word qui sont vulnérables sont celles compatibles avec les versions Windows 2000, Windows XP et Windows Server 2003 SP1 de la plate-forme Windows.

Le ‘bug’, reconnu par les équipes de Microsoft, a été découvert par des éditeurs de sécurité qui ont alerté le géant de Redmond.

Dans une note publiée ce week-end de Pâques, Microsoft confirme la vulnérabilité et explique : « Nous reconnaissons l’existence de cette faille. Quelques attaques ont été signalées. »

Les attaquants exploitent un ‘bug’ situé dans le moteur Jet Database de Microsoft. Il s’agit d’un composant de Windows qui permet l’accès aux données de certaines applications, comme, par exemple, Access et Visual Basic.

Dans un communiqué, le spécialiste de l’antivirus Symantec précise que les attaques présentées par Microsoft exploitent des documents Word 2000, 2002, 2003 et 2007, qui utilisent la ‘Dll’ vulnérable : Jet .dll. (Dll : Dynamic Link Library file).

Un chercheur de Symantec explique : « Les ‘hackers’ exploitent certainement deux bugs dans le fichier DLL Jet. » Une de ces failles a été signalée à Redmond il y a maintenant trois ans.

Selon Microsoft, les utilisateurs de Word sur des machines équipées de Windows Vista et Windows Server 2003 SP2 ne sont pas menacés. La raison en est que ces OS utilisent des versions différentes de Jet.dll.

En attendant le correctif, Microsoft recommande aux administrateurs de désactiver le fichier DLL incriminé.