Objet: Vulnérabilité dans Microsoft Internet Explorer

Résumé

Une vulnérabilité référencée par l'identifiant CVE-2015-0072, a été découverte dans Microsoft Internet Explorer. Elle permet à un attaquant de contourner la politique dite Same Origin Policy et d'exécuter du code JavaScript malveillant via le chargement d'une page HTML.

3 -.1 Fonctionnement de l'attaque

La politique SOP (Same Origin Policy) est mise en place pour éviter que des scripts malveillants puissent accéder aux données présentes sur d'autres domaines, notamment aux cookies HTTP permettant de maintenir les sessions authentifiées.

L'exploitation de cette vulnérabilité permet de contourner cette protection et donc d'exécuter du code JavaScript dans le contexte d'une page tierce telle qu'une application métier, un site bancaire, ou tout autre application sensible.

3 -.2 Scénarios possibles d'attaque

Cette vulnérabilité est susceptible d'être mise en oeuvre lors de tentatives d'hameçonnage ou lors d'attaques par point d'eau.

3 -.3 Risques encourus

Les risques encourus sont similaires à ceux liés aux attaques de type injection de code indirecte (XSS). En particulier, l'exploitation de cette vulnérabilité peut permettre de récupérer les cookies envoyés par le navigateur pour usurper une session authentifiée.

Se référer à la note d'information CERTA-2002-INF-001-001 pour plus de détails.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).