Une faille de sécurité dans l'Internet Explorer de Microsoft

BOSTON (Reuters) - Un chercheur en sécurité informatique dit avoir découvert dans le navigateur Internet Explorer de Microsoft une faille, baptisée "cookiejacking" qui pourrait permettre à des pirates de dérober les informations d'identification pour accéder à Facebook, Twitter et d'autres sites web.

"N'importe quel site web. N'importe quel cookie. La seule limite est votre imagination", a mis en garde Rosario Valotta, chercheur indépendant en sécurité informatique basé en Italie.

Selon le chercheur, les hackers peuvent exploiter la faille d'Internet Explorer, le navigateur le plus utilisé au monde, pour accéder aux "cookies" stockées dans le logiciel.

Les cookies sont de petits fichiers de texte contenant notamment l'identifiant et les mots de passe de l'utilisateur permettant d'être reconnus automatiquement sur certains sites web.

Une fois qu'un hacker est en possession de ce cookie, il peut l'utiliser pour accéder au même site que l'internaute, explique le chercheur, qui a baptisé cette technique "cookiejacking".

La faille concerne toutes les versions du navigateur de Microsoft, y compris la toute dernière, Internet Explorer 9, et ce quel que soit le système d'exploitation Windows utilisé.

Pour exploiter la faille, le pirate doit cependant d'abord persuader l'utilisateur de glisser et déposer un objet de la fenêtre du navigateur vers le bureau du PC.

Selon Rosario Valotta, si la tâche semble compliquée en apparence, il suffit d'imaginer un jeu de puzzle sur Facebook où l'internaute doit par exemple "déshabiller" une femme séduisante
"J'ai publié ce jeu en ligne sur FaceBook et en moins de trois jours, plus de 80 cookies ont été envoyés sur mon serveur", a-t-il expliqué "Et j'ai seulement 150 amis", a-t-il ajouté.

Mais d'après Microsoft, il y a peu de risque qu'un hacker puisse réussir dans le monde réel une telle escroquerie.

"En raison du niveau requis d'interaction, nous ne considérons pas ce problème comme étant d'un risque très élevé", a déclaré un porte-parole de Microsoft, Jerry Bryant.