[info]Internet Explorer + webmail = danger !

Internet Explorer + webmail = danger
Les internautes qui, au-del� de l'aspect pratique, consultent leur courrier �lectronique via une interface webmail pour des raisons de s�curit� vont devoir revoir leur strat�gie. La soci�t� sp�cialis�e en s�curit� GreyMagic Software a d�couvert le 6 mars 2004 (mais a publi� l'information le 23 mars) des failles dans les filtres de s�curit� des serveurs webmails. Ou, plus pr�cis�ment, dans Internet Explorer (IE) exclusivement.

GreyMagic a en effet d�couvert que, exploit�e d'une mani�re pr�cise, le module HTML+TIME (qui offre des fonctions de synchronisation aux pages Web) permet de contourner les filtres des webmail charg�s d'�liminer les contenus � risque. En fait, il s'agit d'une commande propre � IE (non standard, donc) de d�claration des espaces de nom ("namespace") qui, combin�e � la commande "import" introduite dans la version 5.5 du navigateur, n'est pas prise en charge par les filtres de s�curit� des serveurs webmail.

Les cons�quences peuvent �tre graves. A partir d'un simple e-mail pi�g�, un pirate peut lancer un script sur la machine victime d�s l'ouverture du courrier infect�. Courriers �lectroniques, carnet d'adresses, mots de passe, num�ro de carte bancaires, donn�es personnelles en tout genre, etc., plus aucun document ou frappe au clavier n'�chappe au pirate qui peut m�me prendre le contr�le de la machine distante.

Changez de navigateur

GreyMagic a r�alis� ses tests sur les webmails de Hotmail et Yahoo. Mais l'entreprise pr�cise que les autres services webmail sont susceptibles d'�tre �galement faillibles. Heureusement, la m�thode ne semble pas avoir �t� exploit�e massivement. Microsoft a mis � jour ses filtres sur Hotmail (deux jours apr�s que GreyMagic a pr�venu l'�diteur de l'existence du bug) et Yahoo a d�clar� avoir combl� la faille r�cemment. Contact�s, Club-Internet et Tele2 d�clarent �galement avoir combl� la faille. Wanadoo/Voila doit mettre en place un "correctif permettant de tronquer les codes", selon la direction de la communication, avant ce vendredi soir. Les webmail de Lycos/Caramail ne sont pas vuln�rables � la faille, test de GreyMagic � l'appui. Nos requ�tes aupr�s de Free, Tiscali, AOL, NeufTelecom et Cegetel sont, pour le moment, rest�es sans r�ponse.

Solutions pr�conis�es en cas de doute : ne pas se servir d'un webmail ou, plus simplement, ne pas utiliser Internet Explorer depuis la version 5.5 pour consulter son webmail. Et, de mani�re g�n�rale, ne jamais ouvrir un courriel suspect m�me si l'exp�diteur est connu du destinataire.

Christophe Lagane
_________________
This misuse of trust will forever stain the pages of history,
Echoing the exploitation and the frailty of decent
Men carried away by nurtured rancour...

Perpetual distrust fed by a belief
In the malevolence of the others