Et de quatre ! Deux nouvelles vulnérabilités viennent d’être découvertes dans le traitement des images au format WMF sous Windows. Non, vous ne rêvez pas : il s’agit bien du même composant à l’origine d’une vulnérabilité majeure il y a tout juste quelques jours, pour lequel Microsoft vient de publier un correctif en urgence . Et c’est le même composant qui était déjà victime, en novembre dernier, d’une autre faille critique, pour laquelle Microsoft avait là aussi publié un correctif.
L’affaire tourne ainsi au burlesque : quatre failles, dont deux critiques (et deux correctifs), en quelques mois, pour un même composant ? Mineur qui plus est ? Et cela quelques jours à peine après que Microsoft ait affirmé avoir consacré des équipes entières, 24h/24h pendant dix jours, à sa réparation ? C’est, au choix, une sacré poisse ou une franche boulette. A défaut d’être capable de le réparer, peut-être serait-il plus simple d’achever WMF une fois pour toute ?
Les deux vulnérabilités actuelles ne permettraient cependant que de faire planter l’ordinateur à la lecture d’une image piégée. Il n’y aurait donc, pour l’instant, aucun risque d’exécution de code. Mais de l’avis d’organismes tels le SANS, ou d’après l’alerte publiée par Security Focus, la possibilité n’est pas à écarter.
Ce ne serait d’ailleurs pas la première fois qu’un tel revirement de situation se produit : au mois de novembre dernier, une vieille faille d’Internet Explorer, que l’on ne croyait capable que de faire planter le navigateur, se révélait en réalité beaucoup plus grave : elle permettait en fait l’exécution de code sur le PC. La vigilance est donc -à nouveau- de mise pour les utilisateurs de Windows et plus particulièrement d’Internet Explorer. Le bon vieux conseil qui consiste à désactiver la librairie Shimgvw.dll est donc à nouveau de circonstance.
En attendant la suite de la saga WMF…