Kazaa et Grokster victimes d’une faille de sécurité critique
Une faille causée par Altnet, un module qui permet des échanges commerciaux sur les réseaux P2P, affecte les logiciels Kazaa et Grokster. Aucune solution de secours n’est clairement proposée.
La société de sécurité Secunia a rapporté, vendredi 3 septembre 2004, une faille de sécurité qui affecte les applications de peer-to-peer (P2P) Kazaa 2.7.1 (et inférieurs) et Grokster 2.6. Jugée hautement critique, cette faille permet à une personne malveillante de prendre le contrôle distant de la machine affectée. Une faille d’autant plus dangereuse que les utilisateurs de ces logiciels ont tendance à rester longtemps connectés sur les réseaux d’échange de fichiers et disposent souvent d’une ligne à haut débit (ce qui offre à l’éventuel intrus tout le temps et le confort nécessaires pour réaliser ses méfaits).
Silence radio du côté des éditeurs
La faille ne provient pas des applications elles-mêmes mais du module commun aux deux logiciels : Altnet Download Manager (4.x). Ce service permet de commercialiser et d’acheter des fichiers informatiques (contenus numériques, logiciels, etc.) sur les réseaux P2P (voir édition du 25 juin 2003). « Le problème de type ‘stack overflow’ se situe dans le contrôleur ActiveX ADM, au niveau de la méthode ‘IsValidFile()’ qui ne gère pas correctement les longs paramètres ‘bstrFilepath’, ce qui pourrait être exploité afin d’exécuter des commandes arbitraires distantes », explique de son côté le site K-otik, qui rapporte également la vulnérabilité.
Pour l’heure, la seule solution de secours est de supprimer le module Altnet (le fichier adm.exe) ou plus simplement de désinstaller Kazaa et Grokster. Aucune information concernant l’affaire n’est avancée sur les sites Web des deux éditeurs. En revanche, Altnet propose sur son site une mise à jour du module incriminé. Si Altnet invite l’utilisateur à vérifier de manière dynamique la pertinence de cette installation, aucune date concernant cette nouvelle version n’est fournie. Du coup, rien ne garantit qu’elle corrige bien la faille découverte la semaine dernière. Prudence, donc.