Microsoft livre son correctif contre la faille WMF

Contre toute attente, Microsoft a finalement édité, ajourd’hui vendredi 6 janvier, son correctif contre les exploitations de la vulnérabilité critique WMF.

Le bulletin de sécurité MS06-001, le premier de la nouvelle année donc, couvre les vulnérabilités des systèmes Windows XP (SP1 et SP2, x64), 2000 (SP4), Serveur 2003 (SP1, x64, R2 et Itanium), mais fait l’impasse sur les versions Windows 98 et Me. Microsoft justifie cette absence par le fait que la vulnérabilité ne serait pas critique sur ces systèmes – il est vrai – vieillissants.

Rappelons que la faille WMF affecte le moteur de rendu des images de type Windows MetaFile de l’application Aperçu des images et des télécopies (Windows ou Windows Picture and Fax Viewer). Exploitable à partir d’un fichier WMF corrompu, cette faille permet à l’attaquant d’exécuter du code à distance sur la machine de l’utilisateur et d’en prendre le contrôle (voir édition du 2 janvier 2006).

Découverte le 27 décembre dernier, le code d’exploitation de la vulnérabilité a généré plus de 70 variantes de l’exploit, selon nombre d’éditeurs d’antivirus qui ont, dans la plupart des cas, adapté leurs solutions pour parer aux éventuelles tentatives d’attaques. Et l’on ne compte plus les sites Web vecteurs de fichiers WMF corrompus. Bref, face aux millions de PC (sous Windows) susceptibles de subir une attaque, la livraison d’un correctif s’avérait urgent.

La pression d’un correctif alternatif?

Pourtant, Microsoft avait officiellement annoncé que le correctif serait publié dans le cadre de son bulletin mensuel prévu chaque deuxième mardi du mois, le 10 janvier prochain en l’occurrence (voir édition du 4 janvier 2006).

Est-ce la diffusion d’une solution alternative proposée par le développeur Ilfak Guilfanov et recommandée par l’Internet Storm Center (voir édition du 5 janvier 2006) qui a poussé Microsoft à accélérer la publication du correctif? A moins que l’éditeur n’ait finalement terminé sa batterie de tests bien plus tôt qu’il ne l’espérait et qui l’autorise, aujourd’hui, à déployer son correctif.

Quelles que soient les raisons de cette anticipation, on ne peut que se réjouir de l’arrivée de la solution de sécurité de Microsoft. La mise à jour est donc vivement recommandée, soit (pour les particuliers) par le service Windows Update ou Microsoft Update, soit manuellement pour les administrateurs informatiques.