Microsoft corrige un vieux bug affectant toutes les versions Windows depuis 95

Vous avez bien lu, le populaire système d’exploitation comprenait jusqu’à tout récemment une faille de sécurité vieille de 19 ans. À la défense de Microsoft, celle-ci n’a été découverte que plus tôt cette année.

En effet, c’est en mai dernier que les chercheurs en sécurité d’IBM ont discrètement avisé le géant du logiciel du problème afin d’éviter que des personnes mal intentionnées tentent d’exploiter la faille en question.

«Cette vulnérabilité était exposée aux yeux de tous depuis un long moment en dépit de nombreux autres bugs découverts et corrigés dans la même bibliothèque de Windows (OleAut32).»

Répondant au joli nom de CVE-2014-6332, le bug en question permet à un attaquant d’exécuter du code à distance sur un système affecté par le biais d’une adresse URL lancée à partir d’Internet Explorer.

Selon IBM, cette faille est exploitable depuis la version 3.0 du navigateur jusqu’à la plus récente; autrement dit, depuis Windows 95.

«Cette vulnérabilité était exposée aux yeux de tous depuis un long moment en dépit de nombreux autres bugs découverts et corrigés dans la même bibliothèque de Windows (OleAut32)», explique Robert Freeman, chercheur pour IBM.

Ce n’est pas la première fois chez Microsoft que de vieux bugs refont surface dans l’actualité. Rappelons qu’en avril dernier, la firme de sécurité FireEye a trouvé une autre vieille faille en lien avec Internet Explorer, âgée de 12 ans. Alors que Microsoft venait tout juste de mettre un terme au soutien de Windows XP, l’entreprise a publié une dernière mise à jour en mai afin de corriger la situation auprès des utilisateurs de l’OS.

L’histoire se répétera-t-elle à nouveau? Pour l’instant, Microsoft a lancé des mises en jour notamment pour Windows Vista, Windows 7 et Windows 8.1 (évidemment, le problème sera absent de Windows 10 lors de sa sortie officielle).

Soulignons que rien n’indique que cette faille est exploitée à l’heure actuelle. Toutefois, le Common Vulnerability Scoring System (un système d’évaluation de la criticité des vulnérabilités informatiques) lui a attribué la sévère note de 9,3 sur 10. Les utilisateurs de Windows ont donc tout intérêt à appliquer la mise à jour aussitôt que possible.