a écrit :Une faille de sécurité dans Mozilla pour Windows
Par Christophe Guillemin
ZDNet France
Vendredi 9 juillet 2004
Le navigateur open source recèle une faille de sécurité qui permet d'exécuter à distance un fichier corrompu sur le système. Un problème qui ne concerne que la version Windows du logiciel. Les correctifs ont été publiés.
Une faille de sécurité a été décelée dans la dernière version pour Windows du navigateur à code source ouvert Mozilla (1.7), ainsi que dans son client de messagerie Thunderbird (0.9.1). La nouvelle génération du navigateur en cours de développement, Firefox, et déjà disponible en préversion (0.7.1) est également affectée.
Elle peut être exploitée par une personne malintentionnée pour exécuter du code à distance sur la machine de sa victime afin d'en prendre le contrôle, inoculer un virus ou bloquer le système.
L'existence de cette vulnérabilité a d'abord été révélée sur plusieurs listes de diffusion spécialisée mercredi 7 juillet, avant d'être confirmée par l'équipe de Mozilla.org, gérant le développement de ce projet collaboratif. «Nous confirmons que ce bug affecte les utilisateurs [de notre navigateur] sur le système d'exploitation Windows de Microsoft. Le problème ne concerne pas les utilisateurs de Linux ou de Mac OS», peut-on lire sur le site de Mozilla.org.
La faille se situe au niveau de l'interpréteur de commandes (il s'agit du "shell: external protocol handler"), qui permet d'exécuter un programme extérieur à Mozilla, Firefox ou Thunderbird depuis ces logiciels. En l'exploitant, il est possible de demander à Windows de lancer un fichier d'aide, sans en vérifier l'intégrité, c'est-à-dire sans prendre en considération son extension.
Autrement dit, un fichier corrompu, qui doit déjà être présent sur le système, pourrait être lancé depuis Mozilla en faisant croire au système qu'il s'agit d'un fichier d'aide.
Mozilla.org a publié des
mises à jour pour les trois programmes concernés. Elles désactivent le "shell: external protocol handler". De nouvelles versions complètes des trois logiciels, incluant cet additif, sont également disponibles.
