Les sites de réseautage social sont des cibles pour les cybercriminels qui exploitent des failles dans ActiveX.
Les sites de réseautage social sont des cibles pour les cybercriminels qui exploitent des failles dans ActiveX.
Il y a moins d'un mois, des chercheurs en sécurité informatique ont démontré que l'une des applications de Facebook, Secret Crush, était aussi à l'origine de logiciels publicitaires (adware) et de l'installation d'un logiciel espion (spyware).
Tel un ver social, ce gadget logiciel (widget) pousse l'utilisateur à télécharger sans le savoir l'application illicite de logiciels publicitaires et du logiciel espion Zango, et à transmettre cette application malveillante à cinq de ses amis.
Presque dans le même temps, MySpace était compromis par des bannières publicitaires qui installaient des fichiers et des programmes malveillants.
Aujourd'hui, les spécialistes de l'éditeur nippon, Trend Micro, indiquent dans un communiqué que le logiciel utilisé par les membres de ces réseaux pour envoyer des images vers MySpace et Facebook est vulnérable.
Pour les spécialistes de Trend, cette faille 0 jour est sérieuse et pourrait être utilisée par des voyous de la Toile pour contaminer des systèmes.
Le logiciel d'envoi des images, nommé Aurigma Image Uploader Control Library, est donc victime d'une vulnérabilité de type débordement de tampon.
Les laboratoires de Trend testent actuellement l'exploitation de cette vulnérabilité et essayent de déterminer le niveau de protection des sites de réseau social.
En fait, cette vulnérabilité exploite trois failles dans ActiveX, dont une a déjà été exploitée. Les vulnérabilités affectent les plugiciels (plug-in) ActiveX utilisés par Microsoft Internet Explorer pour charger les fichiers des applications tierces.
En attendant d'avoir plus de détails sur cette vulnérabilité, Trend conseille aux utilisateurs de Facebook et de Myspace de changer les paramètres Internet de leur navigateur Web sur «élevé» avant d'autoriser les contrôles ActiveX.