Les derniers bulletins de sécurité de Microsoft à peine publiés, l’éditeur en a profité pour mettre en ligne un autre bulletin, mais d’un genre un peu différent. Il concerne une faille de type 0-day pour Internet Explorer, c’est-à-dire qu’elle est déjà exploitée au moment où elle est révélée.

La vulnérabilité est considérée comme critique par Microsoft, ce qui signifie dans le jargon de l’éditeur qu’elle peut être exploitée à distance par l’intermédiaire d’une procédure automatisée. Elle ne touche cependant que les versions 6 et 7 du navigateur : tous ceux qui ont Internet Explorer 8 ne sont pas concernés.

L’éditeur précise dans son bulletin que certaines attaques visant cette faille spécifiquement ont déjà été repérées. Cette dernière réside dans une référence à un pointeur invalide. Dans certaines conditions, ce pointeur peut être accédé après qu’un objet a été supprimé. Dans le pire des cas, l’exploitation de la faille octroie à l’attaquant les mêmes droits que l’utilisateur local. Des comptes utilisateurs classiques et le mode protégé d’Internet Explorer 7 limitent l’impact de l’exploitation.

Ajoutons que les derniers bulletins n’ont aucun correctif non plus pour la faille révélée il y a peu et qui pouvait être exploitée via la touche F1 pour appeler l’aide.