Une semaine après la dernière mise à jour cumulative pour Internet Explorer 6.0, deux nouvelles failles critiques ont été découvertes dans le navigateur de Microsoft. Ces failles peuvent permettre à un webmaster de prendre le contrôle d’un PC, même si le SP2 pour Windows XP a été installé. K-Otik explique que l’utilisation de ces deux brèches et du modèle ActiveX Data Object pourrait permettre « d’injecter des scripts malicieux dans la zone locale de la machine vulnérables ».

Une des deux failles vient du fait du manque de validation pour le « glisser-déposer », qui étais déjà exploité dans une précédente faille critique de Internet Explorer, corrigée la semaine dernière. Selon Chaouki Bekrar de K-Otik, « la première vulnérabilité était légèrement plus facile à exploiter, ce qui n’empêche pas de qualifier le risque lié à cette deuxième variante de critique ». Il précise qu’elle « ne représente pas un danger imminent pour les internautes, car la méthode d'exploitation actuelle nécessite une grande interaction de la part de l'utilisateur », mais ajoute que de nouvelles méthodes d’exploitation automatiques ou semi-automatiques de cette faille pourrait apparaître ces prochains jours.

Il n’y a pas encore de correctif à ces failles de sécurité, K-Otik et Secunia conseillent de désactiver les scripts ActiveX ou de changer de navigateur, qui ne sont pas exempts de failles non plus (pour plus d'infos voir cet article).

Source : Branchez-vous