|
|
Les gadgets de Vista pratiques mais risqués
Par Ludovic Blin,
secuobs.com
Le 17/09/2007
Résumé : Une étude résume les vulnérabilités qui peuvent provenir des gadgets de Vista, dont plusieurs ont récemment bénéficié d’un correctif de la part de Microsoft. - Lire l'article
Les gadgets constituent une des nouveautés les plus visibles du nouveau système de Microsoft, Windows Vista. Ils permettent de garder sur le bureau des informations pratiques, constamment actualisées. Les applications proposées par défaut sont par exemple la météo, des liens rss, ou encore une gestion des contacts.
Sur un plan technique, ces gadgets sont constitués d’une page html et d’un fichier xml détaillant les caractéristiques du gadget. Le code présent dans le fichier html est exécuté par le moteur d’Internet Explorer 7, mais sans tenir compte des limitations de sécurité. Une API particulièrement fournie est ainsi proposé au développeur de gadgets, qui pourra entre autres permettre d’exécuter du code sur la machine, via la fonction System.shell.execute. Ainsi, une simple faille XSS (cross site scripting) dans un des gadgets installés par l’utilisateur permettra d’injecter du code javascript qui pourra télécharger un programme malveillant, puis l’exécuter. Parmi les applications proposées par défaut, le gestionnaire de contact, le service de météo et le lecteur de flux RSS étaient vulnérables à cette faille, qui a été corrigée au mois d’août (MS07-048).
Une étude sur le sujet a récemment été publiée par Tim Brown de la société Portcullis Security ( lien ), qui recense les différentes menaces qui peuvent viser ces applications.
Il est donc conseillé de n’installer que des gadgets provenant de source de confiance. Précisons également que la distribution de gadgets par fichier ZIP ne permet pas d’utiliser la fonction de signature électronique pour authentifier l’auteur du fichier, réservée au format CAB.
- Article suivant : [Shells restreints – comment les contourner ? - partie 1] Introduction aux shells restreints
- Article précédent : [Reverse Engineering – partie 6] Résolution du second objectif et finalisation de la première étape du concours
- Article suivant dans la catégorie Failles : Vulnérabilité combinée pour le couple PDF/IE7
- Article précédent dans la catégorie Failles : Mai 2007, MoAxB ou le mois des failles dans les contrôleurs ActiveX
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, attaque, outil, microsoft, réseau, audit, metasploit, vulnérabilité, système, virus, internet, usbsploit, données, source, linux, protocol, présentation, scanne, réseaux, scanner, bluetooth, conférence, reverse, shell, meterpreter, vista, rootkit, détection, mobile, security, malicieux, engineering, téléphone, paquet, trames, https, noyau, utilisant, intel, wishmaster, google, sysun, libre |
| Mini-Tagwall de l'annuaire video : | | | | curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit, exploit, lockpicking, linux, attack, wireshark, vmware, rootkit, conference, network, shmoocon, backtrack, virus, conficker, elcom, etter, elcomsoft, server, meterpreter, openvpn, ettercap, openbs, iphone, shell, openbsd, iptables, securitytube, deepsec, source, office, systm, openssh, radio |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
