« Les données des cookies peuvent être modifiées à l’aide d’un script sous IE ». Tel est le titre du bulletin de sécurité MS01-055 publié par Microsoft jeudi 8 novembre dernier. Reconnue par l’éditeur de Redmond, cette faille de sécurité semble concerner toutes les versions d’Internet Explorer, même si Microsoft concentre son alerte sur IE 5.5 et 6 pour la simple et « bonne » raison que l’éditeur n’assure plus le support des versions précédentes.
Rappelons que les cookies sont de petits fichiers textes contenant des informations personnelles, comme la fréquence des visites où le profil de l’utilisateur. Ennuyeux si un cookie contient notamment le numéro de carte bancaire, voire les paramètres d’accès à des comptes personnels, à caractère financier ou non. En principe, les cookies installés sur l’ordinateur de l’utilisateur ne sont lisibles que par les sites Web qui les ont générés. Mais un script malicieux permet visiblement de lire et de modifier le contenu des cookies à travers Internet Explorer. Bien sûr, pour activer ce script indésirable, il faut s’être connecté à une page Web (URL) qui le contient. Ou encore avoir téléchargé un e-mail au format HTML « infecté » par le script.
Désactivez les scripts dans votre navigateur
Cette faille est considérée comme « High », c’est-à-dire importante voire grave, par Microsoft lui-même. En attendant le développement d’un patch de correction, l’éditeur conseille de renforcer, si ce n’est déjà fait, le niveau de sécurité du navigateur. Simplement en personnalisant le niveau de sécurité à partir des Options Internet du navigateur puis, dans l’onglet Sécurité, en désactivant les scripts, y compris ceux des applets Java, du menu de personnalisation.
Ce trou de sécurité ne plaide pas en faveur de Passport, le service clé de la stratégie .Net de Microsoft qui unifie sous un unique profil les paramètres d’accès à différents comptes en ligne. Passport essuyait lui-même un revers de sécurité en début du mois (voir édition du 5 novembre 2001). Microsoft et la sécurité, une histoire sans fin mais pas sans faille.
Les attaques de phishing utilisant des QR codes frauduleux intégrés dans des documents PDF joints…
Microsoft a amorcé le déploiement de Windows 11 24H2. Passage en revue des nouvelles fonctionnalités…
L'intégration de Copilot dans la suite bureautique s'accélère. Où trouver l'assistant IA et comment l'utiliser…
Microsoft annonce une phase expérimentale pour lancer Recall sur les PC Copilot+. Elle doit commencer…
Comment réduire la taille des mises à jour de Windows 11 ? Microsoft annonce la…
Déjà doté de la sauvegarde automatique, d'un compteur de caractères et de Copilot, Bloc-notes embarque…