Internet explorer, victime de la faille de la touche F1

Nouvelle alerte de sécurité pour Internet Explorer. Microsoft vient de confirmer l'existence d'une faille concernant potentiellement toutes les versions de son navigateur Internet. Tout au moins, celles tournant sous Windows 2000, XP, et Server 2003. Windows 7, Vista, et Server 2008 sont épargnés. «Cette faille est liée à l'interaction de VBScript avec les fichiers d'aide de Windows quand on utilise Internet Explorer», peut-on lire dans une alerte de sécurité émise sur Microsoft TechNet. «Si un site malveillant crée une boîte de dialogue infectée demandant aux internautes d'appuyer sur la touche F1 [aide, NDRL], ces derniers peuvent déclencher l'exécution de code sur la session en cours».
Un pirate pourrait ainsi avoir les mêmes autorisations sur la machine que l'internaute. Par exemple, si l'utilisateur possède des droits d'administrateur, on peut très bien imaginer qu'un hacker utilise la faille pour prendre le contrôle de tout le système informatique. Il lui sera par la suite possible d'installer d'autres programmes, de regarder, changer ou effacer des données, etc. A ce jour, l'éditeur n'a pas décidé s'il allait publier un correctif avant la prochaine mise à jour de sécurité. Celle-ci interviendra le 9 mars prochain. Pour justifier ce manque d'empressement, Microsoft explique qu'il n'a pas eu connaissance d'attaque exploitant cette faille. En attendant, il conseille à ses utilisateurs de régler les paramètres de sécurité d'Internet Explorer en désactivant l'autorisation permettant l'exécution automatique des scripts.