Chercheur en sécurité informatique polonais, Maurycy Prodeus a prévenu le Web de sa trouvaille. Selon lui, il est possible d'appeler winhlp32.exe depuis Internet Explorer 6, 7 et 8 afin d'utiliser VBScript pour l'exécution d'un fichier d'aide ( extension .hlp ) malveillant. Une possible exploitation pour l'exécution de code arbitraire à distance sous Windows XP mais pas pour Windows Vista ou Windows 7.

Cette vulnérabilité a en réalité été découverte le 1er février 2007 et fait l'objet depuis le 26 février dernier d'une divulgation publique. Pour l'exploitation, l'interaction de l'utilisateur est requise avec l'appui sur la touche F1 lors de l'affichage d'une boîte de dialogue.

La société Secunia a confirmé la vulnérabilité 0-day pour au moins IE7 sous Windows XP SP3. Elle est due à une erreur dans la fonction MsgBox() de VBScript, et d'indiquer qu'elle peut être exploitée pour " exécuter un fichier HLP depuis un partage SMB distant en incitant l'utilisateur à presser la touche F1 lors de la consultation d'un site Web piégé ". Cette interaction utilisateur vaut à la vulnérabilité d'être classée avec une dangerosité moyenne.

Microsoft a pour sa part indiqué mener des investigations au sujet d'une vulnérabilité publique concernant l'utilisation de VBScript et des fichiers d'aide Windows avec Internet Explorer. Aucune attaque n'a pour l'heure été rapportée et Microsoft assure que les systèmes d'exploitation Windows Vista, Windows 7 ( ainsi que Windows Server 2008 et 2008 R2 ) ne sont pas affectés.

Petit rappel au passage de Microsoft qui souligne que les fichiers d'aide .hlp font partie de la catégorie des fichiers non sûrs, dans la mesure où ils sont conçus pour faire appel à des actions automatiques lors d'une utilisation normale. Dans cette catégorie on retrouve par exemple les fichiers programmes .exe, les fichiers de commandes ( .cmd, .bat ), les fichiers scripts ( .vbs, .js ), les fichiers Microsoft Access (.mdb)... Avis à tous : " Alors qu'ils peuvent être des outils de productivité très précieux, ils peuvent également être utilisés par des attaquants pour tenter de compromettre un système ".