Nous vous avertissions mardi d’une faille de type 0-day dans Internet Explorer 7, 8 et 9 sous Windows XP, Vista et 7. Épargnant la version 10 du navigateur, et donc Windows 8, elle pouvait être exploitée pour installer automatiquement un malware, Poison Ivy. Nul besoin finalement d’attendre le prochain « patch Tuesday » puisque le correctif est désormais disponible.
Dans un billet sur son blog de sécurité Security Response Center, Microsoft indique avoir pris connaissance plus tôt dans la semaine d’une faille touchant un nombre « restreint d’utilisateurs », tout en indiquant qu’un plus grand « potentiel » d’impact était bien présent.
De fait, le correctif arrive via deux formes différentes. Ceux qui souhaitent corriger la faille aussi vite que possible (et nous les encourageons à le faire) pourront récupérer le sparadrap numérique depuis le site de Microsoft. Il s’agit d’une solution de type « Fix It », à savoir un package guidant l’utilisateur dans les étapes. Bien que les étapes soient en anglais, la solution s’applique à toutes les langues. Attention cependant : Internet Explorer doit être à jour avant d’appliquer le patch, et seule la version 32 bits du navigateur est touchée.
À partir de demain, Microsoft publiera le correctif directement dans Windows Update. Tout système basé sur Windows XP SP2, Vista SP2 ou Windows 7 recevra donc automatiquement la mise à jour… si le système est configuré de cette manière (comportement par défaut). Microsoft précise que le correctif de demain bouchera également quatre autres trous considérés comme critiques.
Notez que le l'Office fédéral allemand de la sécurité des technologies de l'information (BSI) avait émis un bulletin conseillant aux utilisateurs d'utiliser un navigateur alternatif. Le CERTA français, de son côté, recommandait dans un premier temps d'utiliser l'EMET (en fait la recommandation de Microsoft) puis avait mis à jour son alerte hier pour se ranger du côté du BSI. Puisque le correctif est disponible, tout rentre dans l'ordre néanmoins, même s'il reste à ces deux institutions à en répercuter la disponibilité.
