Vous êtes ici :

Faille dans Internet Explorer : Microsoft propose une parade critiquée

Julien L. - publié le Mardi 18 Septembre 2012 à 11h20 - posté dans High-Tech

Microsoft, Internet Explorer, Sécurité,

Une faille a récemment été découverte dans Internet Explorer. Toutes les versions depuis la 6 sont touchées, sauf la 10. En attendant la publication d'un patch dédié, Microsoft propose aux utilisateurs du navigateur web d'utiliser EMET, un programme servant de trousse à outils. Mais plusieurs experts en sécurité se montrent perplexes quant à l'efficacité réelle d'EMET.

Principal navigateur web dans le monde, Internet Explorer est naturellement une cible de choix pour les pirates, puisqu'une faille exploitée avec succès peut s'avérer très efficace pour affecter d'un coup des millions d'internautes. Cette position de leader entraîne de fait un biais. Si IE est le plus souvent attaqué, c'est parce que c'est un logiciel très répandu, pas uniquement parce qu'il serait le plus fragile.

Il n'en demeure pas moins que Microsoft, l'éditeur d'Internet Explorer, a une responsabilité toute particulière puisqu'il a le devoir de colmater au plus vite les brèches de sécurité découvertes. Mais il ne faut pas pour autant se précipiter, au risque de ne pas résoudre correctement le problème, ou générer de nouveaux soucis. Or, plusieurs critiques se sont exprimées dernièrement pour contester l'efficacité d'un correctif pour IE.

Lundi, Microsoft a déclaré enquêter sur une faille utilisée par le malware Poison Ivy touchant toutes les versions d'Internet Explorer à partir de la 6 et à l'exception de la 10. La société dit "être au courant d'attaques ciblées tentant d'exploiter cette vulnérabilité" et ne propose pour le moment aucun patch spécifique. En revanche, l'entreprise suggère de déployer EMET (Enhanced Mitigation Experience Toolkit).

Ce programme doit permettre de laisser du temps à Microsoft pour combler la faille, sans pour autant laisser les internautes sans défense. L'objectif de cet utilitaire est d'empêcher "l'exploitation des vulnérabilités logicielles grâce à des technologies de réduction des risques de sécurité". L'attaquant doit au préalable les "mettre en échec pour exploiter les vulnérabilités logicielles"

"Ces technologies de réduction des risques de sécurité ne garantissent pas la non-exploitation des vulnérabilités. Toutefois, elles font en sorte que l'exploitation soit aussi difficile que possible", prévient toutefois Microsoft. Difficulté supplémentaire, EMET nécessite une installation et une configuration. Si un utilisateur expérimenté y arrivera, un utilisateur lambda aura plus de mal à utiliser cette défense.

Plusieurs experts en sécurité interrogés par Reuters se sont montrés circonspects quant à l'efficacité d'EMET. Non seulement EMET ne serait pas particulièrement utile, mais en plus il pourrait entraver la bonne exécution d'autres programmes. L'un d'eux a même suggéré aux internautes de passer temporairement à un autre navigateur web dans la mesure où la vulnérabilité ne concerne que le logiciel de Microsoft.

Selon le découvreur du logiciel malveillant Poison Ivy, il s'agit d'une vulnérabilité zero day qui a été exploitée. Le programme peut servir à prendre le contrôle à distance d'un ordinateur ou dérober des données précises. Selon Reuters, les principaux éditeurs d'antivirus ont mis à jour leurs produits pour contrer la nocivité de Poison Ivy, mais le risque demeurera tant que Microsoft n'aura pas colmater la faille.