Internet Explorer et PowerPoint victimes de failles de sécurité non corrigées

A peine Microsoft vient-il de combler en urgence sa faille VML (voir édition du 27 septembre 2006) qu’il est de nouveau confronté à des vulnérabilités exploitables et non patchée (zero day). Deux nouvelles failles frappent respectivement Windows (Internet Explorer) et PowerPoint.

C’est encore une brèche liée à un ActiveX de Windows qui frappe le navigateur de Microsoft, révèle l’US-CERT dans une note du 27 septembre sur la base des travaux du développeur HD Moore. L’organisme gouvernemental américain de sécurité précise que le contrôle ActiveX WebViewFolderIcon (webvw.dll) contient une vulnérabilité lié à un débordement de mémoire tampon. « Cela pourrait permettre une prise en main distante par un attaquant non authentifié pour exécuter du code arbitraire sur un système vulnérable », explique l’organisme.

L’exploitation de la vulnérabilité nécessite cependant la participation (consciente ou non) de l’utilisateur qui devra visiter une page Web piégée (en ligne ou sous forme d’un e-mail HTML). Elle peut également causer un crash du navigateur (ou du programme utilisant le contrôle WebBrowser). « Les conséquences complètes de cette vulnérabilité ne sont pas encore connue », soutient l’agence. Il n’existe aucun correctif et l’US-CERT recommande simplement la désactivation du contrôle ActiveX vulnérable en question, voire de tous les ActiveX de la zone Internet.

Parallèlement, Microsoft a également reconnu une autre faille de sécurité, que FRSirt juge critique, et qui différentes version de PowerPoint (2000, 2002, Office 2003) y compris sous environnement Mac (2004 et v. X). Dans son avis 925984, Microsoft précise que l’exploitation de la faille nécessite l’ouverture d’un fichier PowerPoint vérolé. Là encore, une attaque de type buffer over flow permet d’exécuter du code distant sur la machine infectée. L’éditeur met donc une nouvelle fois en garde les utilisateurs sur l’ouverture de pièces jointes douteuses.

FRSirt indique que « Cette vulnérabilité est actuellement exploitée par les chevaux de Troie Controlppt.W et Trojan.Controlppt.X ». En attendant la disponibilité d’un correctif, on pourra utiliser PowerPoint Viewer 2003 la visionneuse des fichiers PowerPoint… ou se tourner vers OpenOffice.