5/5 - (1 vote)

Multiples vulnérabilités dans Microsoft Edge et Internet Explorer

Le CERT/FR lance le 01 avril 2019 une alerte sur la découverte de multiples vulnérabilités qui touchent les navigateurs Edge et Internet Explorer de Microsoft.

Selon le CERT, le 30 mars 2019, le site thehackernews.com a publié un billet dans lequel un chercheur en sécurité annonce avoir trouvé deux vulnérabilités de type Zero Day dans Microsoft Edge et Internet Explorer.

Ces vulnérabilités permettent de contourner la fonctionnalité de sécurité Same Origin Policy (SOP). Cette fonctionnalité empêche un script d’interagir avec des ressources chargées depuis une source différente, ceci dans le but de limiter les informations qu’un site peut obtenir du navigateur de l’utilisateur.

Ici, si un utilisateur se rend sur un site malveillant ou un site légitime compromis, l’attaquant pourrait être en mesure de récupérer des informations et secrets de navigation, tels que l’historique ou des cookies de connexion.


Dans le domaine de la sécurité informatique, une vulnérabilité Zero-Day (en français : Jour zéro) est une vulnérabilité informatique n'ayant fait l'objet d'aucune publication ou n'ayant aucun correctif connu. L'existence d'une telle faille sur un produit implique qu'aucune protection n'existe, qu'elle soit palliative ou définitive. La terminologie Zero Day ne qualifie pas la gravité de la faille : comme toute vulnérabilité, sa gravité dépend de l'importance des dégâts pouvant être occasionnés, et de l'existence d'un exploit, c'est-à-dire d'une technique exploitant cette faille afin de conduire des actions indésirables sur le produit concerné.
Les failles Zero-Day, souvent nommées "exploits" ne sont généralement pas utilisées dans les cyberattaques. L'objectif des attaquants est de tirer profit de ces vulnérabilités critiques en monnayant leur possible utilisation. Ce sont les grandes compagnies comme Microsoft ou Adobe ou encore les CES comme WordPress mais aussi les stockages des données dans le cloud qui sont la cible des cybermenaces de ces exploits. La découverte d'une faille critique est aussi rentable pour les hackers que l'exploitation d'un rançongiciel.

Les CERT (Computer Emergency Response Teams) sont des centres d'alerte et de réaction aux attaques informatiques, destinés aux entreprises ou aux administrations, mais dont les informations sont généralement accessibles à tous. Les tâches prioritaires d'un CERT sont multiples. La centralisation des demandes d'assistance à la suite des incidents de sécurité (attaques) sur les réseaux et les systèmes d'informations : réception des demandes, analyse des symptômes et éventuelle corrélation des incidents. Le traitement des alertes et réaction aux attaques informatiques : analyse technique, échange d'informations avec d'autres CERTs, contribution à des études techniques spécifiques. L'établissement et maintenance d'une base de donnée des vulnérabilités, La prévention par diffusion d'informations sur les précautions à prendre pour minimiser les risques d'incident ou au pire leurs conséquences, La coordination éventuelle avec les autres entités ( centres de compétence réseaux, opérateurs et fournisseurs d'accès à Internet CERTs nationaux et internationaux).

A propos de l'auteur

Retour en haut