Microsoft announces out-of-band patch for IE exploit

[Al-khiyal]

Microsoft announces out-of-band patch for IE exploit

January 20, 2010 -- Microsoft has provided "an advance notification of one out-of-band security bulletin that Microsoft is intending to release on January 21, 2010". In brief, it's going to release a patch for the Internet Explorer vulnerability fingered in the Google/China incident. The vulnerability affects all versions of IE (ie IE6, IE7 and IE8) on all NT-based operating systems (Windows 2000, XP, Vista, Windows 7), so every Windows user who might be affected should install it. The original exploit only worked if people were running IE6 on Windows XP, but now the exploit code has been published, some malware writers will be adapting it for a wider target market. Incidentally, the "out-of-band" designation means it is being issued separately, not as part of Microsoft's monthly roll-up of patches, which are provided to make the process less disruptive for businesses, large corporations and so on. (No doubt all French and German government-owned Windows PCs will have this extremely important patch installed within minutes of its release.) However, Microsoft could also include patches that would otherwise have had to wait until February.

[Al-khiyal]

Microsoft prévoit de diffuser jeudi un remède à une faille d'Explorer

SAN FRANCISCO, Mercredi 20 Janvier 2010 — Le géant des logiciels Microsoft a annoncé qu'il diffuserait jeudi un programme permettant de protéger les ordinateurs contre une faille de son navigateur Internet Explorer 6 (IE 6), apparemment à l'origine d'attaques subies par Google et d'autres sociétés. "Microsoft continue à voir des attaques limitées, et jusqu'à présent les seules à avoir réussi visaient Internet Explorer 6", a expliqué Microsoft mercredi, en recommandant d'installer son remède dès qu'il sera diffusé, sans doute à 18H00 GMT jeudi. Actuellement, les versions ultérieures d'Internet Explorer, IE7 et IE8, "semblent tenir bon", a dit à l'AFP un responsable de la sécurité informatique chez Microsoft, George Stathakopoulos. "Aucune des attaques que nous connaissons ne marcheront contre IE8. Cela pourrait changer, mais c'est ce que nous savons (maintenant)." Microsoft avait confirmé dès la semaine dernière qu'une vulnérabilité sur IE 6 avait été exploitée par les pirates informatiques qui ont conduit Google à menacer le 12 janvier de cesser ses activités en Chine. Pour la société spécialisée dans la sécurité informatique McAfee, la sophistication des attaques visant Google et d'autres sociétés dépasse celle des pirates de droit commun et semble plutôt relever d'un Etat.

[Al-khiyal]

Microsoft s’explique la vulnérabilité d'Internet Explorer

Mercredi 20 Janvier 2010 -- Microsoft devrait publier un patch ou correctif si vous préférez assez rapidement afin de colmater la faille 0 Day (exploitée) présente sur le navigateur Internet Explorer, faille qui peut permettre l'exécution de code à distance. Microsoft s’explique sur cette faille sur son site Internet dans la rubrique protection. L’article propose une synthèse pour les utilisateurs des systèmes d’exploitation Windows XP, Windows Vista, ou Windows 7 sur les navigateurs concernés, navigateurs ayant servi à effectuer des attaques contre Google et d'autres grandes entreprises. Sont concernés par cette faille les navigateurs Internet Explorer 6, Internet Explorer 7 et Internet Explorer 8 sur les systèmes d’exploitation Windows XP, Windows Vista, et Windows 7, mais sous certaines conditions.

A ce jour, Microsoft a connaissance d'attaques limitées tentant d'utiliser cette vulnérabilité contre Internet Explorer 6. Microsoft n'a pas connaissance d'attaques contre les autres versions affectées d'Internet Explorer. Microsoft recommande donc vivement de migrer vers la version d’Internet Explorer 8 et surtout pour Windows XP d’avoir le service pack 3, et l’ensemble des derniers correctifs pour tous les systèmes d’exploitation. Il faut savoir que vous êtes encore plus de 6% à visiter le site avec une version d’Internet Explorer 6 (version qui n’est plus prise en compte pour la création des pages PHP) et surtout près de 1% à surfer avec Windows 95, 98, Me et 2000. Pour connaître la version de votre navigateur, dans le menu cliquez sur le « ? » et sélectionnez « À propos de Internet Explorer ».

Microsoft a par ailleurs publié un tableau qui indique la potentialité d’une attaque en fonction des versions d'Internet Explorer et des systèmes d’exploitation Windows. (Le lien pour accéder à la page d’explications et au tableau). Et surtout, surfez couvert avec un antivirus à jour et efficace (à ne pas confondre avec les logiciels qui se contentent seulement de scanner votre disque dur) et bien sur ne visitez pas des sites « à la con » et ne cliquez pas sur les liens dans les mails que vous recevez dont vous ne connaissez pas la provenance.

[Al-khiyal]

IE7 et IE8 seraient concernés par la faille critique :
Correctif en urgence pour Microsoft

Mercredi 20 Janvier 2010— Deux chercheurs en sécurité estiment qu’il est techniquement possible d’exploiter la faille critique d’Internet Explorer dans ses versions 7 et 8. Microsoft, qui explique que seul IE6 sur Windows XP est affecté, publiera un correctif hors cycle. Mauvaise nouvelle pour Microsoft. L'analyse des attaques contre Google et 33 autres entreprises avaient permis d'identifier une faille critique non corrigée d'Internet Explorer. Selon les premiers rapports de Microsoft, seuls les utilisateurs de la version 6 du navigateur et de Windows XP étaient réellement exposés. La fonctionnalité DEP (Data Execution Prevention) intégrée à IE7 et IE8 devant prévenir l'exploitation de la faille 0-day. Finalement, il semble que le risque soit plus important. Un chercheur en sécurité, Dino Dai Zovi, a en effet développé un code PoC (proof-of-concept) permettant de compromettre une machine exécutant Internet Explorer 7 sur Vista et XP. Dans un message posté sur Twitter, Dino Dai Zovi estime que la protection apportée par le DEP peut être contournée.

La protection DEP d'IE7 et 8 pourrait être contournée

Sur The Register, Dino Dai Zovi considère néanmoins que les préconisations de Microsoft (DEP, ASLR, mode protégé, ...) apportent un niveau de protection significatif contre des attaques ciblées. Le PoC qu'il a mis au point lui permet pour le moment essentiellement de lire des fichiers sensibles, mais pas de modifier les paramètres système. Le chercheur déclare toutefois être proche de parvenir à exécuter des attaques plus puissantes, y compris en exploitant la faille critique dans Internet Explorer 8. La société d'analyse des vulnérabilités Vupen Security a d'ailleurs émis un bulletin de sécurité, succinct (vraisemblablement pour des raisons de sécurité), soulignant la possibilité d'exécuter du code à distance sur un ordinateur doté d'Internet Explorer 8. Interrogé par CNET News, Microsoft explique qu'il étudie actuellement les éléments apportés par Dino Dai Zovi et Vupen Security et la capacité pour un attaquant de bypasser la protection du DEP d'Internet Explorer.

Les alertes de sécurité encouragent le téléchargement de Firefox et Opera

Pour le moment, Microsoft recommande toujours aux utilisateurs d'IE6 et de Windows XP de migrer vers des versions plus récentes de son navigateur et de son système d'exploitation Windows. Les agences de sécurité française, allemande et désormais australienne recommandent elles d'adopter un navigateur alternatif, une position que la firme de Redmond qualifie d'excessive. Pour autant, Microsoft prend la menace au sérieux et a publié un billet sur son blog sécurité pour annoncer qu'il diffuserait un correctif en dehors de son cycle habituel. La faille critique d'Internet Explorer devrait ainsi être corrigée avant son patch day du mois de février. Microsoft s'efforce de rassurer les utilisateurs de ses applications. Son image, déjà écornée par différents incidents de sécurité, risque en effet de pâtir de la divulgation de cette nouvelle faille et de sa médiatisation dans les journaux et à la télévision (un média de grande écoute). Les navigateurs alternatifs, comme Firefox et Opera, pourraient bien profiter directement de cette mauvaise publicité. D'après des statistiques recueillies par The Register, le nombre de téléchargements d'Opera et Firefox aurait significativement augmenté au cours des derniers jours. En France, Firefox bénéficierait également de l'alerte de sécurité émise par le Certa.

[Al-khiyal]

Internet Explorer 'hit with new set of security flaws'

January 25, 2010 -- A U.S. security research firm has found another set of vulnerabilities within Internet Exlporer, only a day after Microsoft released an emergency software update. Boston-based Core Security Technologies discovered the vulnerabilities on Friday January 22, only a day after the technology giant had released an unscheduled security patch to protect users of the most popular browser in the world from the flaws used by the hackers who pried into the email accounts of human rights activists in China. Two weeks ago Microsoft admitted that its Internet Explorer browser was the weak link in a spate of recent cyber attacks on Google and other technology companies in China. Core Security Technologies claim to have discovered another set of vulnerabilities in Internet Explorer which hackers could exploit and use to remotely access personal data on people’s computers.

Microsoft is taking the claim seriously and has launched an enquiry. A spokesman said: “Microsoft is investigating a responsibly disclosed vulnerability in Internet Explorer. We’re currently unaware of any attacks trying to use the vulnerability or of customer impact, and believe customers are at reduced risk due to responsible disclosure. Once we’re done investigating, we will take appropriate action to help protect customers.” However, the tech giant would not rule out having to release yet another unscheduled security update on top of the regular monthly release, once its investigation was over. The spokesman added: “Customers should also upgrade to the latest version of Internet Explorer, Internet Explorer 8, which provides improved security and privacy protections, as well as sign up for Microsoft Update and enable the Automatic Update functionality. This will enable automatic installation of all applicable updates this month and help to make customer systems more secure.”

Jorge Luis Alvarez Medina, a security consultant from Core Security Technologies, told Reuters that there are three or four ways for hackers to exploit this new set of vulnerabilities, but he did not know whether any such attacks had happened. He plans to demonstrate the vulnerability at the Black Hat security conference in Washington, which commences on February 2. Microsoft’s unscheduled security release last week was preceded by both the German and French governments issuing official warnings for all IE users to change their browser so as not to be exposed to the security flaws detected in all versions of IE. The British Government did not issue a similar warning. Rival browser makers, including Firefox and Opera, are said to be benefiting from the fallout, with downloads of Firefox spiking in Germany immediately after the government issued its advice, and more than twice as many people as usual downloaded Opera last week.