Kaspersky Online Scanner affecté par une faille critique

Une faille a été détectée dans l’antivirus Kaspersky Online Scanner qui pourrait être exploitée par des pirates pour corrompre le système d’un utilisateur. Pourtant, lorsque nos confrères de Vnunet.com ont pris contact avec l’éditeur à ce sujet, un porte-parole leur a répondu qu’il « ignorait tout du problème » et que Kaspersky publierait un communiqué ultérieurement.

Un second appel quelques heures plus tard de David Emm, consultant en technologie pour Kaspersky, n’a guère été plus fructueux. « A la fin de la journée, rien n’est sûr à 100 %. Tout ce que les uns ou les autres pourront écrire pourra être infirmé », a-t-il déclaré avant d’orienter la discussion sur deux autres vulnérabilités.

Lorsque Vnunet.com a rappelé qu’il était question d’une faille découverte le jour même dans l’antivirus en ligne de l’éditeur, l’expert a assuré ne pas être au courant du problème. « J’étais en déplacement chez un client à Alton Towers », a-t-il précisé.

Après plusieurs consultations, David Emm a rappelé pour affirmer que les utilisateurs étaient protégés par la version actuellement disponible sur le site de Kaspersky. « Le logiciel présent sur le site est la dernière version disponible, avec tous ses correctifs », a-t-il annoncé.

Mais le consultant a reconnu que cette version ne fonctionnerait pas si l’ancienne version était déjà installée sur l’ordinateur de l’utilisateur. « Vous devrez tout d’abord désinstaller la version initiale pour pouvoir installer la nouvelle version », a-t-il convenu.

Lorsque nos confrères lui ont demandé si Kaspersky avait l’intention d’informer les utilisateurs de cette situation, le consultant a répondu que c’était « probable », mais qu’il n’était pas en mesure de le confirmer.

La vulnérabilité est liée à une erreur au niveau de la chaîne de format dans le contrôle ActiveX kavwebscan.CKAVWebScan que les utilisateurs doivent télécharger avant de pouvoir utiliser l’antivirus. Cette faille pourrait être exploitée pour exécuter du code arbitraire, lorsqu’un utilisateur visite un site malveillant par exemple.

Dans un bulletin de sécurité, l’éditeur Secunia a classé cette vulnérabilité comme ‘hautement critique’. Le problème affecte les versions 5.0.93.1 ainsi que les versions précédentes, mais il peut être corrigé par une simple mise à niveau à la version 5.0.98.0. Le problème a été découvert par Stephen Fewer de Harmony Security et signalé via iDefense Labs.

Adaptation de l’article Kaspersky falls through Online Scanner flaw par Matt Chapman de Vnunet.com en date du 11 octobre 2007.