Une faille de sécurité dans l’antivirus de Symantec

Une vulnérabilité a été trouvée dans la dernière version du logiciel antivirus de Symantec, autorisant des pirates à prendre le contrôle d’un ordinateur sans aucune interaction de l’utilisateur.

Elle a été identifiée par eEye Digital Security, qui la considère comme une menace de « haut niveau ». « Cette faille peut être exploitée sans interaction de l’utilisateur final et peut mettre en danger les ordinateurs concernés via l’exécution de codes malveillants avec un accès au niveau du système », a déclaré eEye dans un communiqué.

Ce type de faille de sécurité doit être pris sérieusement en considération, prévient Donald Casey, consultant en sécurité pour la société Morse. « Le fait qu’elle permette la prise de contrôle à distance d’un PC sans que l’utilisateur n’ait à ouvrir un fichier attaché ou à cliquer sur un lien en fait une énorme vulnérabilité », estime ce spécialiste.

Un démenti formel de Symantec

Selon Eye, ce problème concerne les versions Symantec Antivirus 10.x et Symantec Client Security 3.x de l’application. Un communiqué sur le site Web de Symantec affirme cependant que l’existence de la faille est « non vérifiée » et son impact « indéterminé ». « Les produits Norton ne contiennent pas le code concerné par cette vulnérabilité potentielle et aucun des produits de Norton n’est affecté par ce problème », a déclaré Symantec.

Donald Casey maintient pourtant que, même si cette faille n’a pas encore été exploitée aux dernières nouvelles, elle constitue une « bombe à retardement prête à exploser ». « Les entreprises doivent être sur le qui-vive et se souvenir que leur antivirus doit, comme tout autre application, être mis à jour à tout moment avec les derniers correctifs », rappelle le consultant.

De son côté, Symantec a insisté sur le fait que ses équipes enquêtaient actuellement sur cette annonce et que des mises à jour pour tous ses produits supportés seraient fournies si cela s’avérait nécessaire.

(Traduction d’un article de VNUnet.com en date du 26 mai 2006)