Une faille de plus dans le moteur de script d’Internet Explorer.
Microsoft en a fait état vendredi 17 janvier… sans fournir de correctif.
La vulnérabilité réside dans la gestion des objets en mémoire. Elle peut permettre l’exécution distante de code avec le niveau de privilèges de la session en cours.
Toutes les versions du navigateur encore prises en charge sont touchées :
Sont également exposées les applications qui embarquent le moteur de script d’Internet Explorer. Entre autres, les applications Office, qu’on peut autoriser à afficher du contenu web.
Microsoft dit avoir connaissance d’attaques ciblées « de portée limitée ».
Il recommande une mesure de contournement qui peut toutefois susciter des problèmes de compatibilité. En l’occurrence, restreindre l’accès à la bibliothèque jscript.dll, sur laquelle s’appuient certains sites (par défaut, IE utilise jscript9.dll, non concerné par la faille).
Pour les systèmes 32 bits, saisir, en mode administrateur dans l’invite de commandes :
takeown /f %windir%\system32\jscript.dll
cacls %windir\system32\jscript.dll /E /P everyone:NPour les systèmes 64 bits :
takeown /f %windir%\syswow64\jscript.dll
cacls %windir%\syswow64\jscript.dll /E /P everyone:N
takeown /f %windir%\system32\jscript.dll
cacls %windir%\system32\jscript.dll /E /P everyone:N
La semaine dernière, Mozilla a corrigé une faille du même type (CVE-2019-17026) dans Firefox.
L’entreprise chinoise créditée de la découverte avait évoqué une autre vulnérabilité similaire présente dans Internet Explorer. Peut-être s’agit-il de celle que Microsoft vient de révéler.
Ce n’est pas – et de loin – la première fois que le moteur de script d’IE est touché. Le dernier correctif que Microsoft lui ait apporté remonte au Patch Tuesday de novembre 2019. L’avant-dernier remonte à septembre, hors du cycle du Patch Tuesday.
Au dernier pointage de StatCounter, Internet Explorer reste installé sur 7,42 % du parc PC mondial (- 0,52 point sur l’année 2019). Net Applications, qui n’a pas la même méthodologie, lui attribue 1,57 % (- 0,98 point).
Logo © Microsoft
Diverses tendances animant l'univers des LLM transparaissent en filigrane du discours de Meta sur Llama…
Mandiant a attribué un APT à Sandworm, considéré comme le principal groupe cybercriminel à la…
Les deux startup proposent un connecteur entre la platefome OpenCTI de Filigran et l’EDR de…
Des chercheurs ont mis des agents LLM à l'épreuve dans la détection et l'exploitation de…
Dans la lignée de Signal, iMessage intègre une couche de chiffrement post-quantique.
Douze fournisseurs sont classés dans le dernier Magic Quadrant des infrastructures LAN.