Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Microsoft alerte les utilisateurs sur la découverte d'une faille zero-day dans Internet Explorer qui permet à un attaquant de prendre le contrôle total de Windows,
Aucun correctif n'est disponible

Le , par Olivier Famien

265PARTAGES

18  0 
Microsoft vient d’annoncer la découverte d’une nouvelle faille de type zero-day dans son navigateur Internet Explorer (IE). Selon les déclarations de l’entreprise, cette vulnérabilité se situerait au niveau de la manière dont le moteur de script du navigateur gère les objets en mémoire. En effet, lorsqu’un code malveillant est exécuté à distance dans Internet Explorer, cela aurait pour effet de corrompre la mémoire de telle manière qu’un attaquant pourrait exécuter du code arbitraire dans le contexte de l’utilisateur actuel. Et si un attaquant parvenait à exploiter cette vulnérabilité, il « pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur en cours. Si l’utilisateur en cours est connecté avec des droits d’administrateur, un attaquant, le tiers malveillant pourrait prendre le contrôle du système affecté. Ainsi, il pourrait alors installer des programmes ; afficher, modifier ou supprimer des données ; ou même créer de nouveaux comptes avec des droits d’utilisateur complets ».

Pour mener son attaque à distance, l’attaquant pourrait par exemple héberger un site Web intégrant du code spécialement conçu pour exploiter la faille découverte dans IE, puis convaincre un utilisateur d’afficher un document HTML, ou simplement le persuader d’afficher un fichier PDF, un document Microsoft Office ou tout autre document prenant en charge le contenu du moteur de script Internet Explorer intégré. Ce bogue qui porte la référence de faille CVE-2020-0674 affecte les versions 9, 10 et 11 du navigateur pour les versions 7, 8.x, 10, de Windows ainsi que Windows Server 2008, 2012, 2016 et 2019. Microsoft précise également qu’il est conscient du nombre limité d’attaques ciblées menées contre les utilisateurs en exploitant cette faille.


Toutefois, bien que la vulnérabilité ait été classée comme critique pour Windows 7, 8.x et 10, sur les différentes versions de Windows Server, elle a été classée comme une vulnérabilité modérée. Cela, à cause du fait que sur les différentes versions de Windows Server, Internet Explorer s’exécute dans un mode restreint appelé Configuration de sécurité renforcée. Il s’agit en fait d’un groupe de paramètres préconfigurés qui peut réduire la probabilité qu’un utilisateur ou un administrateur télécharge et exécute du contenu Web spécialement conçu sur un serveur. Selon Microsoft, cette fonctionnalité permet d’atténuer le risque d’exploitation de cette faille sur Windows Server.

Si cela ne vous convainc pas, Microsoft propose également pour tous les utilisateurs une solution de contournement pour tous ceux qui souhaitent se mettre à l’abri de cette faille en attendant la publication d’un correctif. Cette solution consiste à bloquer l’accès à la bibliothèque jscript.dll qui est une bibliothèque qui fournit sur Windows une compatibilité pour exécuter les scripts sur certains sites Web. Le blocage de l’accès à cette bibliothèque permet donc d’éviter l’exploitation de cette vulnérabilité et des vulnérabilités similaires qui peuvent être présentes dans cette bibliothèque. Mais cela ne devrait pas poser de problème pour le fonctionnement d’Internet Explorer, car pour ceux qui utilisent encore IE pour parcourir le Web moderne, la bibliothèque jscript9.dll qui n’est pas affectée par cette vulnérabilité est utilisée par défaut.

Pour restreindre l’accès à la bibliothèque jscript.dll, il faut saisir les commandes suivantes dans l’invite de commandes :

Sur les systèmes 32 bits :
Code bat : Sélectionner tout
1
2
takeown /f %windir%\system32\jscript.dll  
cacls %windir%\system32\jscript.dll /E /P everyone:N

Sur les systèmes 64 bits:
Code bat : Sélectionner tout
1
2
3
takeown /f %windir%\syswow64\jscript.dll  
cacls %windir%\syswow64\jscript.dll /E /P everyone:N  
takeown /f %windir%\system32\jscript.dll cacls %windir%\system32\jscript.dll /E /P everyone:N


Selon Microsoft, « l’implémentation de ces étapes peut entraîner une réduction des fonctionnalités des composants ou des fonctionnalités qui dépendent de jscript.dll. Par exemple, selon l’environnement, cela peut inclure des configurations client qui exploitent des scripts de configuration automatique de proxy (scripts PAC). Ces fonctionnalités et d’autres peuvent être affectées ». Si ces fonctionnalités qui pourraient en être affectées ne vous concernent pas, alors vous pouvez exécuter ces commandes sans problèmes, si bien entendu, vous estimez que vous courez un risque élevé.

Comme nous l’avons signifié, aucun correctif n’est encore disponible. Mais Microsoft rassure en expliquant qu’il travaille à cela. L’entreprise ajoute ceci : « Notre politique standard consiste à publier les mises à jour de sécurité le mardi de mise à jour, le deuxième mardi de chaque mois. Ce calendrier prévisible permet l’assurance qualité des partenaires et la planification informatique, ce qui permet de maintenir l’écosystème Windows comme un choix fiable et sécurisé pour nos clients ». Il est donc fort probable que le correctif soit intégré dans le Patch Tuesday du mois prochain. Mais ce correctif pourrait ne pas concerner les utilisateurs de Windows 7, car Microsoft vient de mettre fin au support de ce système. D’ici la sortie du patch, les utilisateurs d’Internet Explorer devraient faire attention aux sites visités et aux documents ouverts ou simplement bloquer l’accès à bibliothèque jscript.

Source : Microsoft

Et vous ?

Que pensez-vous de cette nouvelle faille zero-day découverte dans Internet Explorer ?

Selon vous, les utilisateurs devraient-ils arrêter d’utiliser Internet Explorer, en tout cas pour ceux qui continuent de le faire ?

Quels commentaires faites-vous du fait que Microsoft attende le Patch Tuesday pour fournir un correctif ?

Voir aussi

Une faille zero day dans Internet Explorer pourrait permettre à un hacker de subtiliser vos données, même si vous ne vous servez pas d’IE
Microsoft corrige une faille zero day largement exploitée dans IE ainsi qu’une faille dans Exchange Server dont le code du PoC était disponible
Faille zero-day découverte dans Internet Explorer permettant de prendre à distance le contrôle d’un PC, Microsoft recommande EMET
Une faille zero-day dans IE 9 et 10 exploitée pour cibler les sites de la défense américaine et de l’aéronautique française
La faille zero-day dans IE9 et IE10 activement exploitée, la migration vers IE10 ou l’application d’un patch vivement conseillée

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de vanquish
Membre éprouvé https://www.developpez.com
Le 21/01/2020 à 8:47
Citation Envoyé par denzwell Voir le message

2/ Quel hacker va perdre son temps pour aller supprimer les données sur le disque de Paul Lambert X de Versailles ou du Havre à cause d'IE.
Arrêter paranoïa.
Le hacker ne va pas cibler M.Lambert, mais des pages web mal protégés dans lesquels il va injecter un script.
Toute personne qui visitera ces pages, y compris (je dirais même surtout) M. Lambert peut donc devenir une cible.
La plupart du temps, les hackers ne font pas des attaques ciblés.
Ils utilisent de robots qui scanne toutes les IP à la recherche d'une cible mal protégés.
Mes serveurs reçoivent des centaines d'attaques de ce type tous les jours.
Quand on essaie de se loguer sur la page d'admin de Wordpress d'un système qui n'a ni Wordpress, ni même PHP, c'est qu'on cible moyen.

Sans tomber dans la paranoïa, il convient donc de rester prudent et informé.
Ceci dit, entre le taux d'utilisation d'IE et le nombre de chance de justement surfé sur une page infecté, le risque reste faible et on comprend que MS attende le prochain patch mensuel.

Et puisqu'on a eu droit au troll Linux (pas toi denzwell), je lui conseille cette page :
https://www.exploit-db.com/?platform=linux
7  0 
Avatar de meduim
Futur Membre du Club https://www.developpez.com
Le 20/01/2020 à 22:23
Microsoft pousse Edge via Windows Update, ce serait l’occasion pour eux de se débarrasser d'Internet Explorer pendant la mise à jour.... Il est de toute façon obsolète et préhistorique.....

Beaucoup de client utilise encore Internet Explorer, car de vieux site qu'il ont absolument de besoin sont uniquement accesible avec ie.
4  0 
Avatar de Zefling
Membre expert https://www.developpez.com
Le 21/01/2020 à 1:23
Citation Envoyé par denzwell Voir le message
1/ Plus personne n'utilise internet explorer en entreprise. Ou 3% de crésus particuliers dans le monde.
2/ Quel hacker va perdre son temps pour aller supprimer les données sur le disque de Paul Lambert X de Versailles ou du Havre à cause d'IE.

Arrêter paranoïa.
Dans ses 3 %, il y a des vieux dinosaures qui ne se mettent pas à jour, et je peux te dire que c'est une cible très intéressante.
3  0 
Avatar de remaila
Futur Membre du Club https://www.developpez.com
Le 20/01/2020 à 21:29
Slt mais si la personne n'utilise pas (IE) est ce que elle est exposé aussi ?
2  0 
Avatar de kilroyFR
Membre éprouvé https://www.developpez.com
Le 20/01/2020 à 23:39
Sur windows 2019 server il n'y a mee pas edge mais IE11. une heresie
2  0 
Avatar de Steinvikel
Membre émérite https://www.developpez.com
Le 21/01/2020 à 16:08
ou uMatrix + uBlock Origin

Malheureusement, quand du JS tourne sur un document MS Office, ces extensions ne serve à rien. ^^'
2  0 
Avatar de cd090580
Membre actif https://www.developpez.com
Le 20/01/2020 à 22:05
Microsoft pousse Edge via Windows Update, ce serait l’occasion pour eux de se débarrasser d'Internet Explorer pendant la mise à jour.... Il est de toute façon obsolète et préhistorique.....
3  2 
Avatar de Metalman
Membre expert https://www.developpez.com
Le 20/01/2020 à 22:19
Citation Envoyé par remaila Voir le message
Slt mais si la personne n'utilise pas (IE) est ce que elle est exposé aussi ?
D'après ce que je lis : Oui, s'il s'agit d'un document office utilisant le moteur d'exécution de scripts...
1  0 
Avatar de smobydick
Membre régulier https://www.developpez.com
Le 20/01/2020 à 23:00
Edge ? T'as un métro de retard
0  0 
Avatar de e101mk2
Membre éclairé https://www.developpez.com
Le 21/01/2020 à 1:03
Citation Envoyé par meduim Voir le message
Microsoft pousse Edge via Windows Update, ce serait l’occasion pour eux de se débarrasser d'Internet Explorer pendant la mise à jour.... Il est de toute façon obsolète et préhistorique.....
Entièrement d'accord mais sur Windows Server 2019, c'est IE le navigateur, pas de Edge, pas de Microsoft store.
Donc on est pas prêt de s'en débarrasser...
0  0