La livraison mensuelle des correctifs de Microsoft corrige une vulnérabilité majeure dans Windows 2000, introduite par l’assistant Office. Vingt-quatre heures plus tard, les codes d’attaques fleurissent sur le net afin d’exploiter la faille. Si vous utilisez encore Windows 2000, il est grand temps de patcher !

La vulnérabilité critique découverte dans Windows 2000 affecte le contrôle ActiveX « Agent » (agentdpv.dll), mieux connu sous la forme du détestable petit trombone de la suite Office (l’Assistant Office). Ce dernier, disparu dans les versions actuelles d’Office, permettrait à un intrus sous Windows 2000 SP4 d’exécuter le code de son choix sur le PC à la simple visite d’une page web piégée.Il suffit en effet d’introduire quelques lignes de Javascript sur une page web afin d’appeler le contrôle ActiveX vulnérable et tirer profit de la faille. L’attaque est donc ouverte non seulement aux sites généralement considérés comme peu fiables (warez, cracks, pornographiques, etc…) mais aussi aux sites légitimes qui auraient pu être compromis. Cette dernière approche est un vecteur d’attaque particulièrement courant aujourd’hui. Récemment, de nombreux sites web italiens ont fait les frais de cette méthode d’attaque, et avant eux même le portail de Wanadoo en France.La vulnérabilité est corrigée depuis mardi, mais cela n’empêche pas plusieurs codes d’exploitation d’avoir vu le jour, de manière isolée ou diffusés dans giron de plate-formes de tests d’intrusion. Microsoft conseille vivement l’application du correctif ou, si cela n’est pas possible immédiatement, de désactiver le support des contenus actifs dans Internet Explorer (ActiveX et Javascript).

Vous avez aimé cet article?

Cliquez sur le bouton J'AIME ou partagez le avec vos amis!

Participez!

 Laisser un commentaire