Messenger Plus! Live : faille critique détectée !

Coup dur pour l'add-on de Messenger Plus! Live : notre équipe italienne de MsnTribe a en effet trouvé une faille critique dans l'utilitaire le plus utilisé dans le monde Messenger.

En effet, il a été prouvé qu'un des modules de Messenger Plus! Live comporte un bug assez grave permettant à une personne malveillante de récupérer des données sensibles ou prendre le contrôle d'une machine.

La faille identifiée est de type Cross Site Scripting, plus couramment connue sous le nom de XSS.

Le XSS est un type de faille de sécurité des sites Web, que l'on trouve typiquement dans les applications Web qui peuvent être utilisées par un attaquant pour faire afficher des pages Web contenant du code douteux.

Le principe est d'injecter des données arbitraires dans un site web, par exemple en déposant un message dans un forum, mais aussi par des paramètres d'URL, etc.

Si ces données arrivent telles quelles dans la page web transmise au navigateur (par les paramètres d'URL, un message posté, etc.) sans avoir été vérifiées, alors il existe une faille : on peut s'en servir pour faire exécuter du code malveillant, en JavaScript par exemple, par le navigateur web qui consulte cette page.

Ainsi, ce principe valable pour des sites Web peut très bien s'appliquer à une application si cette même faille est présente.

L'exploitation d'une faille de type XSS permettrait à un intrus de réaliser les opérations suivantes :

Affichage d'un contenu externe indépendant de Messenger Plus! Live
Redirection (parfois de manière transparente) de l'utilisateur
Vol d'informations, par exemple sessions et cookies
Manipulation du compte MSN (envois de messages, suppression de données...)
Plantage du logiciel voire du système (boucle infinie d'alertes par exemple)

Toutes les versions de Messenger Plus! Live seraient touchées, y compris la version 4.60.324 publiée le 19 Mars 2008 et dernière en date.

Nous avons d'ores et déjà contacté Patchou, le créateur de Messenger Plus! Live afin de lui expliquer le problème et ainsi qu'il vérifie l'exactitude et la reproductibilité d'une telle attaque.

Il n'existe à ce jour aucun correctif pour palier cette vulnérabilité, considérée comme critique par beaucoup.

Nous vous tiendrons informé dès que nous en saurons plus sur la situation.

En attendant, n'hésitez pas à adopter des gestes de prévention en utilisant un pare-feu et un antivirus, bien que ceux-ci ne vous garantissent un rien une sécurité absolue concernant les intrusions.

source : msncreative
_________________

bon anniv

La faille a été corrigée par une nouvelle version de messengerplus live ! qui corrige le bug rien de nouveaux a signaler dans cette version !

Pour telecharger cliquez

_________________

bon anniv