Selon l’avis publié hier par Microsoft, la vulnérabilité portant la référence CVE-2019-1367 est présente dans pratiquement toutes les versions d'Internet Explorer pour Windows 7, Windows 8.1, et Windows 10. Elle affecte le moteur de script gère les objets en mémoire.

La vulnérabilité, dont la découverte a été attribuée à Clément Lecigne du Threat Analysis Group de Google, et rapportée plus tôt par le site The Register, « corrompt la mémoire de telle manière qu'un attaquant pourrait exécuter du code arbitraire ».

Cela signifie que, pour les utilisateurs, « un attaquant qui a exploité avec succès la vulnérabilité pourrait obtenir les mêmes droits qu’eux», explique en substance Microsoft. « Si l'utilisateur est connecté avec des droits d’administration, l’attaquant qui a exploité avec succès la vulnérabilité pourrait prendre le contrôle d'un système affecté. Un attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données, ou créer de nouveaux comptes avec tous les droits d'utilisateur ». En d'autres termes, si un attaquant arrive à convaincre l’utilisateur de cliquer sur une page Web affectée, il pourra faire ce qu'il veut avec son PC et avec ses données enregistrées.

Des mesures d’atténuation et un patch

Des mesures d'atténuation existent. Si vous exécutez Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 et Windows Server 2019, Internet Explorer fonctionne en mode restreint, ce qui peut réduire la probabilité qu'un utilisateur télécharge un logiciel malveillant. La page Web des Common Vulnerabilities and Exposures (CVE) de Microsoft fournit également des commandes que les utilisateurs peuvent appliquer à leurs systèmes 32 bits ou 64 bits pour les protéger, en restreignant l'accès à JavaScript. Néanmoins, Microsoft précise que ces solutions de contournement peuvent toujours avoir un impact sur la fonctionnalité du système.

Quelques heures après la publication de la CVE-2019-1367, Microsoft a émis un patch pour colmater cette brèche. Ce correctif se déroule en dehors du traditionnel Patch Tuesday et montre la criticité de la faille. Il est donc fortement conseillé d'appliquer le patch le plus rapidement possible.