Un développeur indépendant vient de (re)découvrir une particularité d'Internet Explorer qui pourrait causer des problèmes de sécurité.

Le forum du site AmigaWorld rapporte une conversation à l'origine de laquelle on trouve une fonctionnalité bien particulière d'Internet Explorer. En effet, en employant un code PHP approprié, il est possible de lire le contenu de votre Presse-Papier directement dans une page du navigateur Internet de Microsoft.

Le Presse-Papier de Windows, au nom si peu évocateur en français (il s'appelle Clipboard en anglais), est une petite application très pratique qui garde temporairement en mémoire des données, pendant que vous faites un copier-coller, par exemple. Certains logiciels permettent d'augmenter la capacité de cet accessoire, tandis que la fonction Nettoyage de Disque (et la plupart des logiciels tiers qui assurent les mêmes fonctions) peut le "purger" de tout ce qu'il contient. Il se vide en général automatiquement lorsque vous fermez votre session Windows, de toute façon.

Oui mais voilà, pendant votre session, vous pouvez y stocker quantités de choses, sans même vous en rendre compte. Ainsi, lorsque vous visitez un site sécurisé pour la première fois, une fois rentré votre identifiant et votre mot de passe, Windows vous propose de les mémoriser. Si vous cliquez sur "Oui", ces données seront stockées dans le Presse-Papier, avant d'être transférées dans un répertoire spécifique lorsque vous quittez l'application qui vous sert à naviguer sur le Web, et/ou quand vous éteignez votre PC.

Cette fonctionnalité, pour pratique qu'elle soit, présente donc de sérieux risques, si on sait les exploiter. Il semblerait en effet que quelques lignes de code en PHP, soigneusement imbriquées dans le code d'une page Web, convainque Internet Explorer de communiquer le contenu du Presse-Papier. Par exemple, en remplissant un simple formulaire en ligne, vous pouvez, sans vous en rendre compte, renseigner en fait les cases d'une base de données. De plus, il existe des logiciels qui permettent d'extraire le contenu du Presse-Papier, à condition qu'on les aide un peu. La particularité d'Internet Explorer dont il est question ici leur donne un sérieux coup de main...

Les autres navigateurs Internet les plus utilisés de nos jours (Mozilla Firefox, Opera, Safari, etc...) sont insensibles à cet artifice, mais les sur-couches d'Internet Explorer (Maxthon, Avant, SlimBrowser, etc...) sont concernées. Pire, un bêta-testeur qui participe au développement d'Internet Explorer 7 confirme que cette faille, si on peut l'appeler ainsi, existe toujours dans les actuelles versions de test du futur navigateur Web de Microsoft...

Les plus curieux d'entre vous peuvent tester par eux-mêmes cette "faille", en mettant quelque chose en mémoire dans le Presse-Papier de Windows (par exemple, le texte de cette news...), puis en cliquant sur ce lien. Sous Internet Explorer, vous devriez voir apparaître ce que vous avez mémorisé. Sous Firefox ou Opera, par exemple, vous aurez juste un petit message d'excuse, vous indiquant que le tour de magie n'a pas fonctionné.

Garanti sans danger, quoique... Si vous êtes cardiaque...




Source : OSNews