Microsoft dévoile une faille de sécurité d'IE
Qui a déjà été exploitée par un groupe de pirates pour attaquer des entreprises selon FireEye
Le 2014-04-28 08:52:22, par Stéphane le calme, Chroniqueur Actualités
La vulnérabilité CVE-2014-1776 est décrite comme une vulnérabilité qui existe de façon à ce qu’Internet Explorer ait accès à un objet dans la mémoire qui a été effacé ou n’est pas alloué correctement.
Microsoft explique que cette vulnérabilité pourrait permettre à un hacker de prendre le contrôle d'un navigateur affecté une fois que l’utilisateur visite un site web infecté. En général cela se produit lorsque l’utilisateur est invité à cliquer sur un lien envoyé en courriel ou en message instantané.
Toutes les versions d’IE à partir de la 6 sont concernées. Ces versions représentent 55 % du marché de la navigation internet sur PC, d'après le cabinet de recherche NetMarketShare. Cependant, Microsoft explique qu’après avoir mené son enquête, il apparaît que le « Enhanced Protected Mode », activé par défaut sur les versions 10 et 11, ainsi que « Enhanced Mitigation Experience Toolkit (EMET) 4.1 » et « EMET 5.0 Technical Preview »seraient d’une grande aide pour prévenir un risque potentiel.
L’entreprise recommande également à tous les propriétaires d’ordinateur de toujours activer leur pare-feu, se rassurer qu’ils ont les dernières mises à jour des programmes et également qu’ils ont les dernières versions des anti-virus ainsi qu’une base de données virales mise à jour.
« Nous encourageons tout le monde à faire preuve de précaution pendant la visite des sites et d’éviter de cliquer sur des liens suspects, ou ouvrir les courriels d’expéditeurs qui ne vous sont pas familier » recommande Dustin Childs, responsable communication Microsoft. Néanmoins, aucune information n’a été communiquée quant à la date de livraison du correctif qui viendra colmater cette faille d’IE.
Selon le fabricant de logiciels de cybersécurité FireEye, un groupe de pirates informatiques a exploité ce bug dans une campagne d'attaques ciblées baptisée « Operation Clandestine Fox ».
« Pour plusieurs raisons, nous ne fournirons pas de détail sur cette campagne » a indiqué FireEye qui s'est refusé à dire quelles entreprises avaient été visées ou encore identifier le groupe de hackers, précisant seulement que les sociétés étaient liées aux secteurs de la défense et de la finance. Pour lui, il s'agit d'une faille critique parce que « les versions susceptibles d'être affectées représentent à elles seules près d'un quart du marché. ». Aussi, l'entreprise invite les uns et les autres à appliquer le correctif aussitôt qu'il sera disponible.
Source : blog Microsoft, blog FireEye
Microsoft explique que cette vulnérabilité pourrait permettre à un hacker de prendre le contrôle d'un navigateur affecté une fois que l’utilisateur visite un site web infecté. En général cela se produit lorsque l’utilisateur est invité à cliquer sur un lien envoyé en courriel ou en message instantané.
Toutes les versions d’IE à partir de la 6 sont concernées. Ces versions représentent 55 % du marché de la navigation internet sur PC, d'après le cabinet de recherche NetMarketShare. Cependant, Microsoft explique qu’après avoir mené son enquête, il apparaît que le « Enhanced Protected Mode », activé par défaut sur les versions 10 et 11, ainsi que « Enhanced Mitigation Experience Toolkit (EMET) 4.1 » et « EMET 5.0 Technical Preview »seraient d’une grande aide pour prévenir un risque potentiel.
L’entreprise recommande également à tous les propriétaires d’ordinateur de toujours activer leur pare-feu, se rassurer qu’ils ont les dernières mises à jour des programmes et également qu’ils ont les dernières versions des anti-virus ainsi qu’une base de données virales mise à jour.
« Nous encourageons tout le monde à faire preuve de précaution pendant la visite des sites et d’éviter de cliquer sur des liens suspects, ou ouvrir les courriels d’expéditeurs qui ne vous sont pas familier » recommande Dustin Childs, responsable communication Microsoft. Néanmoins, aucune information n’a été communiquée quant à la date de livraison du correctif qui viendra colmater cette faille d’IE.
Selon le fabricant de logiciels de cybersécurité FireEye, un groupe de pirates informatiques a exploité ce bug dans une campagne d'attaques ciblées baptisée « Operation Clandestine Fox ».
« Pour plusieurs raisons, nous ne fournirons pas de détail sur cette campagne » a indiqué FireEye qui s'est refusé à dire quelles entreprises avaient été visées ou encore identifier le groupe de hackers, précisant seulement que les sociétés étaient liées aux secteurs de la défense et de la finance. Pour lui, il s'agit d'une faille critique parce que « les versions susceptibles d'être affectées représentent à elles seules près d'un quart du marché. ». Aussi, l'entreprise invite les uns et les autres à appliquer le correctif aussitôt qu'il sera disponible.
Source : blog Microsoft, blog FireEye
-
Philippe BastianiMembre éprouvéEn parlant de faille : FreeBSD a aussi eu la sienne dans la pile TCP/IP ! Celà commence à faire beaucoup après OpenSSL...
Un correctif a été publié mais combien d'apareils sont affectés ? J'imagine que Mac OS et les PLaystation 3/4 doivent avoir ce bug... dans compter tous les apareils qui embarquent FreeBSD comme coeur !
a+
Philippe
Celà mériterait une news, non ?le 02/05/2014 à 10:16 -
Microsoft essaie de la jouer grand seigneur!
Mais il ne faut pas s'attendre à ce que Microsoft fasse un support "ad vitam aeternam" de tous ses OS.le 02/05/2014 à 14:14 -
GTSLASHInactifJe je sais que dans MS-Dos il y a toujours des bug non corrige. Quelle HONTE !!!! Apres 33 ans ils ne l'ont même pas remarque ???le 29/04/2014 à 23:42
-
arrakis75Membre à l'essaiJ’ai PC avec Windows XP sous ie 8 donc.
Comment puis-je faire pour installer ce patch pour continuer à utiliser IE ?
Windows Update
http://windowsupdate.microsoft.com/w...ult.aspx?ln=fr
renvoie sur cette page…
Ma version de Flash est à jour http://www.adobe.com/fr/software/flash/about/
You have version 13,0,0,206 installedle 03/05/2014 à 13:17 -
Shr3ckMembre habituéTu devrais trouver le lien de téléchargement qui te correspond à cette adresse : site technet.microsoft.com
C'est assez dommageable qu'une mise à jour critique concernant Internet Explorer, ne puisse pas être corrigée via Windows Update, et nécessite donc d'utiliser un navigateur (soit dans le cas des utilisateurs d'IE, la cause du problème) pour récupérer le correctif sur le site de Microsoft.le 05/05/2014 à 15:06 -
RhoManuMembre du ClubC'est une mise à jour d'IE, pas de Windows... Il n'y a aucune raison de mettre Windows XP dans l'affaire : L'arrêt du support de l'OS n'a jamais signifié l'arrêt du support des logiciels.le 06/05/2014 à 17:27
-
cuefficNouveau membre du ClubOu bien mieux : passer a Linuxle 29/04/2014 à 7:16
-
Philippe BastianiMembre éprouvéPour compléter l'info, l'US CERT recommandent aussi de ne plus utiliser le navigateur avant correction !
Moi qui pensais naïvement que désactiver Java était suffisant pour passer à travers des 0-days ;-) Trêve de plaisanteries : libre ou commercial quelque soit la gestion qualité des bugs aussi importants passent les mailles du filetEt, c'est toujours les utilisateurs qui en subissent les concéquence !
a+
Philippe
Oups, j'utilise IE pour écrire ce message.. trop tard donc ;-)le 29/04/2014 à 23:41 -
bytecodeMembre actifVu le nombre de failles qui existe depuis que internet explorer existe, il y à celle corrigé et celle toujours exploitable et de voir des antivirus comme Mcafee être a la ramasse le pire c'est qu'ils sont partenaire du plugin le plus exploité pour ce genre de chose...
enfin souhaitons que la full disclosure nous sécurise tous !
vite il me faut un windows 8 !!!le 28/04/2014 à 21:14 -
morfus18Futur Membre du ClubMicrosoft essaie de la jouer grand seigneur!
sécurité se trouve à l’adresse suivante : http://technet.microsoft.com/fr-fr/s...letin/ms14-may
Mise à jour de sécurité pour Internet Explorer (2965111) : https://technet.microsoft.com/librar...urity/ms14-021le 02/05/2014 à 10:17