Une nouvelle faille d’IE7 permettrait de dérober les identités en ligne

L’éditeur de solutions de sécurité danois Secunia a récemment découvert une nouvelle vulnérabilité dans Internet Explorer 7 qui pourrait être exploitée par des individus mal intentionnés pour dérober des identités en ligne.

Un pirate pourrait abuser l’internaute en glissant par exemple une fenêtre de navigation secondaire (pop up) pour simuler une connexion à une banque en ligne. Un cas que Vnunet.com avait déjà traité en cas d’attaque par spoofing.

Dans ce cas, le pirate aurait besoin de connaître la balise « target name » de la fenêtre destinée à être imitée. De plus, pour que l’opération réussisse, il est nécessaire que le site légal visé et le site leurre soient ouverts simultanément.

Secunia a noté la vulnérabilité comme « modérément critique« , son troisième niveau de gravité dans son classement de sécurité sur une échelle qui en compte cinq.

Contacté par Vnunet.com, un porte-parole de Microsoft a démenti une vulnérabilité dans son nouveau logiciel de navigation. Dans un communiqué diffusé par e-mail, l’éditeur affirme que Secunia ne perçoit ce problème que sous un angle spécifique : « l’attitude des navigateurs Web populaires qui, dès la conception de l’outil, permettent à un site d’ouvrir ou de réutiliser une fenêtre pop-up« . Avec IE7, les utilisateurs seront en mesure d’affirmer qu’ils ont été redirigés vers un site de phishing parce que la fenêtre pop-up affichera une barre d’adresse.

Secunia avait publié un avertissement sur une vulnérabilité similaire dans Internet Explorer 5 et 6 en 2004. L’alerte d’aujourd’hui est la quatrième vulnérabilité de sécurité présumée que Secunia a dénichée dans Internet Explorer 7 depuis le lancement du navigateur en début de mois.

En plus du démenti d’aujourd’hui, Microsoft a récusé un autre rapport de Secunia car il concernait davantage Outlook Express que IE7. Microsoft a confirmé les deux autres vulnérabilités.

Adaptation en français d’un article de vnunet.com en date du 31 octobre 2006