Les hackers se penchent sur le code source de Windows

Moins de trois jours après que Microsoft a reconnu publiquement qu’une portion du code source de Windows 2000 et NT 4 ? de l’ordre de 15 % – avait été diffusée via les réseaux peer-to-peer (voir édition du 13 février 2004), un particulier a fait savoir qu’il avait découvert une faille de sécurité en examinant le programme. Elle concerne Internet Explorer 5.0 et permet à une personne malintentionnée de prendre le contrôle à distance d’une machine par le truchement d’une image au format Bitmap affichée sur un site Web. Une fois téléchargée, cette image peut permettre une attaque par débordement de mémoire tampon (buffer overflow). De son côté, Microsoft minimise l’impact de cette découverte, expliquant que la faille en question est connue et a été corrigée dans le premier service pack d’Internet Explorer 6.0, sorti en décembre 2002. Les millions d’utilisateurs des versions précédentes du navigateur sont donc invités à télécharger la nouvelle version.

Un test pour le sérieux de Microsoft

Cette péripétie appelle toutefois plusieurs remarques. Elle permet en premier lieu de mesurer l’efficacité des hackers dans l’audit du code source et leur célérité à déceler les failles. Si d’autres vulnérabilités étaient ainsi découvertes, elles constitueraient des preuves par l’exemple que la publication du code source, conformément aux principes de l’Open source, et son audit permanent par une communauté de développeurs permettent de déceler rapidement les erreurs de programmation et de les réparer. Il en résulte des produits plus sûrs, à la condition toutefois que les développeurs ne soient pas animés d’intentions malveillantes. Enfin, l’exposition du code source de Windows et l’éventuelle révélation de nouvelles failles non connues de Microsoft permettront de tester le sérieux avec lequel l’éditeur a sécurisé ses produits dans le cadre de sa stratégie dite « d’informatique de confiance ».