Internet Explorer : une faille de sécurité activement exploitée
Un correctif mardi prochain
Alors qu’Adobe fait face à une fuite de sécurité particulièrement importante, les utilisateurs d’Internet Explorer vont devoir prendre leurs précautions. Une faille déjà exploitée a vu ses détails devenir publics, augmentant le risque d’une large exploitation. Bien que Microsoft ait déjà publié une solution temporaire, un correctif définitif se fait attendre.
Une faille exploitée depuis des semaines
Sale temps pour la sécurité. Alors que le grand public découvre avec stupeur les répercussions de l’affaire Prism et le peu de cas qui est fait de leur vie privée, Adobe annonce que les informations personnelles de 2,9 millions de clients se retrouvent dans la nature. Et comme si cela ne suffisait pas, une faille touchant toutes les versions du navigateur le plus utilisé, Internet Explorer, est activement exploité.
La faille a été décrite pour la première fois le 17 septembre. À ce moment, Microsoft parlait essentiellement des versions 8 et 9 d’Internet Explorer, avant d’indiquer que toutes les versions actuellement supportées pouvaient être touchées. Dans la pratique, c’est bien le cas, et les moutures 10 et 11, intégrée à Windows 8 et 8.1, sont concernées, qu’il s’agisse de versions 32 ou 64 bits.
Située dans le moteur HTML, pour toutes les versions supportées
La faille se situe au sein du moteur HTML d’Internet Explorer, dans le fichier mshtml.dll. Sur le site Common Vulnerabilities and Exposures (CVE), on peut ainsi lire que la brèche concerne l’implémentation de la fonction « SetMouseCapture ». Selon le propre bulletin de Microsoft, il existe un problème dans la manière dont le navigateur accède à un objet particulier en mémoire, qu’il ait été supprimé ou correctement alloué. La finalité est qu’un attaquant qui exploiterait la faille pourrait réussir à faire exécuter un code arbitraire sur la machine de l’internaute.
À ce moment-là, Microsoft indiquait encore que quelques attaques dirigées contre Internet Explorer 8 et 9 avaient été repérées. Une solution de type Fix-It avait donc été mise en place. Disponible comme souvent sous la forme d’un MSI, elle permettait de parer au plus urgent en modifiant certains réglages, évitant ainsi à la faille de fonctionner. Le problème étant évidemment que la faille elle-même était bien encore présente.
Le correctif définitif le mardi 8 octobre
Le correctif, attendu depuis, n’est toujours pas disponible. Et les choses s’accélèrent car si quelques attaques avaient été recensées, les détails de la faille étaient restés confidentiels, ce qui n’est plus le cas aujourd’hui. Les informations d’exploitation ont en effet été intégrées dans le kit Metasploit. Dans la dernière version, publiée lundi, de ce framework destiné autant aux hackers qu’aux professionnels de la sécurité, tout le nécessaire est disponible pour une exploitation à plus large échelle.
Mais l’attente est presque terminée puisque le correctif définitif fera son apparition mardi prochain dans le lot des huit bulletins annoncés pour le mois d’octobre. Il s’agira d’ailleurs d’un patch cumulatif pour Internet Explorer, estampillé MS13-080. Que faire en attendant ? Si ce n’est pas déjà fait, appliquez la solution Fix-It qui permettra d’éviter les situations problématiques. Comme toujours, faites attention aux sites que vous visitez. Il reste également la possibilité d’utiliser un autre navigateur le temps que la brèche soit colmatée.
Commentaires (80)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 05/10/2013 à 07h07
Le 05/10/2013 à 07h52
Le 05/10/2013 à 15h48
Le 05/10/2013 à 18h19
Merci pour tes commentaires Julien
" />
Le 06/10/2013 à 00h22
Le 06/10/2013 à 08h37
Le 06/10/2013 à 09h01
On verra bien au prochain pwn2own
pas besoin, IE10 s’est deja fait exploiter cette année, tout comme chrome et Firefox lors du pwn2own. Donc non, aucune protection n’est invulnérable.
mais ce n’est pas juste une faille qui fait d’un navigateur un logiciel à éviter.
pour exploiter une faille dans IE10 il leur avait fallu des mois de travail, et trouver plusieurs failles pour contourner toutes les protections mémoire et la sandbox sans avoir à s’appuyer sur des plugins tiers.
ce niveau de difficulté est rassurant, et montre que la plupart des hackers auront du mal à créer des exploits ciblant IE10.
donc pour peu que les utilisateurs utilisent une version récente d’IE, comme ils le feraient avec Chrome ou Firefox, l’exposition à des failles 0day exploitables devrait être très rare. L’exemple de cette news le montre, les hackers n’avaient pas les moyens (temps, compétences?) de cibler IE10/11 et se sont contentés de IE8/9.
Le 06/10/2013 à 21h43
Le 07/10/2013 à 09h19
Internet Explorer + Adobe Reader = pc gruyère !
Ça fait longtemps que je n’utilise plus ces logiciels.
Le 07/10/2013 à 12h50
Le 07/10/2013 à 13h01
je pense que tu connais déjà la réponse ? Je parles pas de WebRTC et autres trucs exotiques, je parles plutot de choses finalisées depuis longtemps qu’IE n’as jamais pu implementé, faute de temps.
je salut qu’ils essaient de rattraper le temps perdu au fil des versions, mais il y a un tel retard qu’il est normal qu’ils soient à la traine. en attendant perso, j’invite les visiteurs de mes sites sous IE a installer chromeframe, et tout le monde est content
et pourtant:
http://blog.jquery.com/2013/01/14/the-state-of-jquery-2013/
But to the point about cross-browser issues, it’s a complete myth that today’s modern browsers have no differences. Look through the jQuery source code and you’ll see plenty of places where it has to fix, patch, and mask issues in modern browsers; those problems didn’t end with IE8. jQuery 2.0 now has more patches and shims for Chrome, Safari, and Firefox than for Internet Explorer!
Le 07/10/2013 à 13h56
Le 04/10/2013 à 14h32
Ne pas céder a la tentation … ne pas céder a la tentation …
" />
" />
" />
Plus de 15 jour ??? sont pas pressé chez microsoft …
l reste également la possibilité d’utiliser un autre navigateur le temps que la brèche soit colmatée.
Désolé mais j’ai craqué
Le 04/10/2013 à 14h34
les utilisateurs d’Internet Explorer vont devoir prendre.
(j’imagine que c’était «prendre patience», je sais bouton Signaler toussa, mais c’était trop wigolo
Le 04/10/2013 à 14h35
ils vont devoir prendre oui mais quoi?
" />
Le 04/10/2013 à 14h35
IE reste le plus mauvais navigateur, même dans ses toutes dernières version, si on se base sur le côté sécurité.
Il suffit de prendre l’exemple du Browser Pivoting qui n’est même pas une faille mais l’exploitation d’une fonctionnalité qui permet tout simplement d’accéder à tout site visité par l”utilisateur et ce quelque soit le mode d’authentification nécéssaire …
Tout simplement hallucinant, je vous invite à regarder la vidéo !
Le 04/10/2013 à 15h25
Mmmmh Quality Center… Oracle Applications fonctionne à peu près sur Chrome mais il est même plutôt fait pour IE lui aussi…
Le 04/10/2013 à 15h27
Ça va, j’ai déjà téléchargé Firefox, plus besoin d’Internet Explorer.
" />
Le 04/10/2013 à 15h28
Le 04/10/2013 à 15h28
Faudrait qu’ils songent a le renommer AIE
" />
" />
" />
Le 04/10/2013 à 15h32
Bon, les trolls “qui utilise encore IE” passés à la benne, on peut passer à autre chose?
Le 04/10/2013 à 15h36
Mais pourquoi cette news aujourd’hui ?
" />
Le 04/10/2013 à 15h38
Depuis que je suis inscrit chez PCiNpact, je tombe sur la même news concernant IE, et je constate que ça n’évolue donc pas.
" />
Non pas qu’il soit aberrant qu’il y ait des failles dans tel ou tel navigateur, mais c’est le temps mis pour y remédier qui est anormal.
Toujours pressés de gagner du pognon, beaucoup moins quand il s’agit de la maintenance.
Ils ne sont pas assez nombreux, n’ont pas assez de sous, chez MS ?
Le 04/10/2013 à 15h45
Le 04/10/2013 à 15h49
Pour être honnête , je me rapelle même pas de la dernière fois que j’ai utilisé ce navigateur.
" />
" />
ça doit remonter assez longtemps..
Et pas que pour des questions de sécurité, tout simplement parce que j’arrive pas à me faire aux autres navigateurs en dehors de Firefox
II y a quelques temps, les rigolos de mon entreprise ne voulaient pas changer la bo*se infâme qu’ est IE6 installé sur les machines..mais les gens commençaient de plus en plus à gueuler..; ils ont finalement installé Firefox sur toutes les machines pour qu’on puisse surfer agréablement, et ils ont laissé IE pourrir sous cette version
Le 04/10/2013 à 16h03
Le 04/10/2013 à 16h08
Le 04/10/2013 à 16h23
Internet Explorer ?
" />
ça me dit vaguement quelque chose…
Le 04/10/2013 à 16h33
Le 04/10/2013 à 16h36
Sale temps pour la sécurité chez MS, ils reconnaissent, enfin, eux-même que leur antivirus n’est pas à la hauteur:
Now, Microsoft has said it sees Security Essentials as merely the first layer of protection, advising customers to use additional, third-party antivirus - although the company stressed that wasn’t because the product wasn’t good enough to stand on its own.
http://www.pcpro.co.uk/news/security/384394/microsoft-security-essentials-is-des…
Le 04/10/2013 à 16h49
Le 04/10/2013 à 19h23
Le 04/10/2013 à 19h26
Moi aussi je te décerne un yaisse.gif
thanks :)
De plus a partir de IE11 je crois que le Enhanced Protected Mode (et donc le ForceASLR) de leur sandbox est activé par défaut donc ca va etre du tout bon
le ForceASLR a été backporté sous win7 et il est actif sous IE10 pour win7 et win8, même si l’enhanced protected mode est désactivé.
donc à lui seul il suffit pour faire échouer l’exploit actuellement en circulation.
Pour une fois que la faille ne touche pas IE6 …
la faille touche IE6 aussi, mais l’exploit ne cible que IE8/9 car c’est un exploit qui a été créé sur mesure à des fins d’espionnage industriel, et non pour infecter des PCs en masse.
les hackers savaient que leur cible était des entreprises tournant sous ie8 et 9. Un exploit ciblant IE6 aurait été plus simple à développer que l’exploit ciblant IE8/9 sur win7. Mais de toute évidence ça ne les intéressait pas.
si ces cibles avaient utilisé un autre navigateur, c’est cet autre navigateur qui aurait été ciblé (avec autant de volonté et de moyens, Firefox et chrome sont exploitables également…)
Le 04/10/2013 à 19h35
Le 04/10/2013 à 19h39
Petite question con.
Ce genre de faille de sécurité n’est dangereuse que si l’on considère le poste comme dépourvu d’antivirus ou d’outil de sécurité?
Le 04/10/2013 à 19h44
Sérieux, comment on peut supprimer un commentaire pour incitation au troll alors qu’on est vendredi et que l’article parle de IE…
Le 04/10/2013 à 20h27
Le 04/10/2013 à 20h46
Le 04/10/2013 à 21h13
Le 04/10/2013 à 21h15
Le 04/10/2013 à 21h47
Petite question con.
Ce genre de faille de sécurité n’est dangereuse que si l’on considère le poste comme dépourvu d’antivirus ou d’outil de sécurité?
un antivirus ne peut bloquer que les malware connus (sous entendu, les plus diffusés).
il ne faut pas trop compter dessus pour se protéger des failles de ce type, car les éditeurs d’anti virus n’auront pas connaissance de toutes les variantes.
en revanche, l’utilisation de l’utilitaire de sécurité EMET peut modifier le fonctionnement des applications de manière à rendre incompatible les exploits 0day conçus pour contourner les protections appliquées dans la config par defaut de Windows (ex: ce malware ne cherche pas à contourner ForceASLR puisqu’il est désactivé par défaut sous ie8/9)
http://blogs.technet.com/b/srd/archive/2013/09/17/cve-2013-3893-fix-it-workaroun…
(lire la section EMET4).
déjà rien que le fait d’utiliser la fonction mandatory ASLR de EMET sur iexplore.exe suffit à protéger les utilisateurs d’IE8/9 sous Windows 7, puisque ça équivaut à appliquer la fonction ForceASLR, celle là même qui protège efficacement IE10/11 contre l’exploit 0day dont parle cette news.
Le 05/10/2013 à 01h19
hum, et c’est repartit pour la condescendance .
" />
Il est coutumier du fait cet homme
Question pratique : un bon HIPS protège t’il de ce genre de failles?
Le 05/10/2013 à 03h32
On se demande de quel côté sont les trolls parfois
" />
Le 05/10/2013 à 07h02
Le truc c’est qu’on supprime un commentaire et que la personne citée dans le dit commentaire reçoit quand même la notification, c’est rageant de ne pouvoir y répondre
" />
Le 07/10/2013 à 14h31
Le 07/10/2013 à 14h32
Le 07/10/2013 à 15h06
Le 07/10/2013 à 15h09
Le 07/10/2013 à 15h24
Le 07/10/2013 à 19h10
C’est a peine si tes trois mots étaient juste un gros troll …
Le 07/10/2013 à 20h47
Le 04/10/2013 à 14h41
ah ! c’est trolldi
" />
Le 04/10/2013 à 14h44
Ça arrive à sortir de la sandbox avancée d’IE10/11 ?
Le 04/10/2013 à 14h45
C’est marrant, lorsque j’ai vu la photo du trou dans le mur dans la liste des articles, ça m’a tout de suite fait pensé au logo Apple..
" />
Le 04/10/2013 à 14h45
Le 04/10/2013 à 14h46
Le 04/10/2013 à 14h48
Le 04/10/2013 à 14h48
Suffit de supprimer le fichier mshtml.dll
Le 04/10/2013 à 15h00
Et comme si cela ne suffisait pas, une faille touchant toutes les versions du navigateur le plus utilisé, Internet Explorer, est activement exploité.
Oh ben non le temps de taper ça j’ai raté le fun.
Vous auriez pu attendre un peu avant de faire le ménage.
Le 04/10/2013 à 15h01
“navigateur le plus utilisé” ? la semaine dernière PCI essayait de nous faire croire que Chrome était le plus utilisé.
Le 04/10/2013 à 15h08
Le 04/10/2013 à 15h13
Le 04/10/2013 à 15h15
Le 04/10/2013 à 15h20
Le 04/10/2013 à 15h21
Le 04/10/2013 à 15h26
Le 04/10/2013 à 16h53
Le 04/10/2013 à 17h03
L’article est trompeur, bien que la faille existe dans toutes les versions d’IE, jusqu’à présent les hackers n’ont pas réussi à l’exploiter sous IE10 et IE11 à cause de la fonctionnalité ForceASLR de win7/8.
pour les autres versions, Microsoft avait rapidement publié un patch FixIt, et EMET empêche également l’exploitation de la faille.
au final, si on utilise une version récente d’IE, il n’y a pas de risque.
se plaindre qu’IE est insecure à cause de cette taille c’est comme se plaindre que Firefox 4 (sorti à la meme époque que IE9) est plein de failles 0day non corrigées et que donc Firefox c’est de la merde.
quand on utilise une ancienne version d’un navigateur ou OS, il faut s’attendre à ce que la sécurité soit moindre. C’est déjà pas mal que MS diffuse encore des patchs pour winxp et IE9. La concurrence ne fait rien de tel pour des logiciels aussi anciens.
Le 04/10/2013 à 17h16
IE reste le plus mauvais navigateur, même dans ses toutes dernières version, si on se base sur le côté sécurité.
encore un vieux mythe à la con.
depuis IE7/vista IE est devenu nettement plus sécurisé que ses concurrents (même si chrome a dépassé IE à un moment, depuis IE10/WIN8 IE est de nouveau plus secure).
pour en savoir plus:
http://www.julien-manici.com/blog/ie10-new-sandbox-enhanced-protected-mode-windo…
d’ailleurs si tu regardes le nombre de faille d’IE ces 10 dernières années (même IE6) tu seras choqué d’apprendre que IE a eu beaucoup moins de failles que Firefox ou chrome.
comme quoi entre les impressions et la réalité…!
d’ailleurs même Google confirme ces chiffres dans une étude qu’il a sponsorisée, et dans laquelle IE apparait comme ayant le moins de failles (même si Google estimait que la sandbox d’IE9 était moins efficace que celle de chrome).
au final, le navigateur le moins secure était… Firefox!
http://www.theregister.co.uk/2011/12/09/chrome_ie_firefox_security_bakeoff/
même lors du dernier concours de sécurité pwn2own, le hack de Firefox rapportait deux fois moins d’argent que le hack de IE ou chrome car Firefox était jugé plus facile à exploiter…
Il suffit de prendre l’exemple du Browser Pivoting qui n’est même pas une faille mais l’exploitation d’une fonctionnalité qui permet tout simplement d’accéder à tout site visité par l”utilisateur et ce quelque soit le mode d’authentification nécéssaire …
Tout simplement hallucinant, je vous invite à regarder la vidéo !
avant de partager une vidéo comme celle là ESSAYE au moins de comprendre de quoi elle parle!
c’est juste un gars qui montre ce qu’on peut faire sur une machine une fois qu’elle est déjà infectée par un malware.
autrement dit, la démo aurait tout aussi bien pu être faite sous chrome/linux ou osx/firefox sans exploiter la moindre faille.
Le 04/10/2013 à 17h21
Le 04/10/2013 à 17h23
Le 04/10/2013 à 17h29
Dernier détail:
la faille n’est actuellement exploitable sous windows7 ie8/9 que si Office 2007 ou 2010 est installé, car l’exploit se sert d’une dll d’office non compatible ASLR pour contourner l’ASLR.
sous IE10, ForceASLR est actif, et force l’ASLR sur toutes les dll, même celles non marquées comme compatible. Donc l’exploit ne peut pas fonctionner.
sous xp, la seule protection reste d’installer le patch temporaire.
https://community.rapid7.com/community/metasploit/blog/2013/09/30/metasploit-rel…
Le 04/10/2013 à 17h37
Définitivement NON !
Le Browser Pivoting est un exploit qui dépend de l’architecture de Internet Explorer, ce n’est pas repoductible sur les autes navigateurs
tu as définitivement tort.
l’implémentation qu’a fait ce dev dépend d’IE 32bit. Autrement dit, l’exe qu’il fournit ne cible que IE 32bit.
mais le même principe est applicable à n’importe quel navigateur, du moment que l’OS accepte d’executer du code non sandboxé!
donc ça marcherait aussi avec IE 64BIT, Firefox, chrome, safari, sous Windows, linux et osx.
par contre ça ne pourrait pas marcher sous Windows RT, WP7/8, iOS, Android.
du moins, pas sans exploiter de faille qui permettrait de sortir de la sandbox applicative pour pouvoir prendre le contrôle du navigateur.
Le 04/10/2013 à 18h02
Le 04/10/2013 à 18h13
Pour une fois que la faille ne touche pas IE6 …
" />
Le 04/10/2013 à 18h15
Le 04/10/2013 à 18h44
Le 04/10/2013 à 18h49
Le 04/10/2013 à 19h06
Je n’affirmerais pas que la faille n’est pas exploitable sous Windows 7 ie8/9 sans Office 2007 ; La DLL d’Office 2007 est une méthode parmi d’autres pour contourner l’ASLR, mais il y en a d’autres, moins publiques. Donc ça reste exploitable, mais pas par tout le monde :)
oui, c’est évidemment possible en utilisant java par exemple.
et même sans aucun plugin c’est également possible, mais ça,nécessiterait de trouver encore une ou plusieurs failles pour connaitre certains emplacements mémoire permettant de contourner ASLR. C’est le type d’exploit qu’on voit chaque année lors du pwn2own, mais on a jamais vu de tels exploits en liberté, car bien plus difficiles à créer.
c’est d’ailleurs pour cette raison que l’exploit en circulation ne fonctionne pas sous IE10/11, du fait que ForceASLR est actif sur ces versions d’IE.
Le 04/10/2013 à 19h15
Non. Déjà le “Browser Pivoting” n’est pas un exploit mais une technique post-exploitation. Tu peux faire la même chose avec Firefox, il faut juste le coder. Que tu injectes une bibliothèque dans le processus de Firefox en hookant les bonnes fonctions, ou que tu codes une extension qui fasse relais (Je l’ai d’ailleurs plus ou moins déjà fait, ça).
Le principe est applicable à n’importe quel navigateur. Ce que ton article montre c’est uniquement son implémentation dans Internet Explorer. D’ailleurs ça s’appelle Browser Pivot, pas Internet Explorer Pivot
+1
c’est d’ailleurs pour cette raison que Microsoft n’integrera jamais de support d’extension dans IE (mis à part les BHO qui existent depuis IE3 et qui ne sont plus supportés sur IE metro et Windows RT)
au passage, des malwares qui s’intègrent déjà dans chrome/firefox/opera/safari pour recuperer les données des formulaires à la volée (et les session ID) existent déjà depuis des années et sont assez répandus.
l’article cité par Glyphe a pour but de démontrer l’inefficacité des authentifications multifacteurs en cas d’infection de l’OS hôte. La démo a été faite sous IE, mais ce n’est en aucun cas pour montrer que IE serait plus vulnérable que les autres navigateurs. Ils le sont tous autant. Dommage que Glyphe ait tout compris de travers.