Discussion :

[Gordon Fowler]

Microsoft découvre une faille dans MFC
Qui pourrait aboutir à un dépassement de tampon



Le Microsoft Security Response avertit les développeurs qu'une faille a été découverte dans MFC.

Pour mémoire, MFC (Microsoft Foundation Class) est une bibliothèque de classes en C++ qui encapsule l'API Win32 (écrite en C) de Windows.

La dll incriminée est la mfc42.

La vulnérabilité touche Windows 2000 et Windows XP (SP2 et SP3), et – potentiellement – toutes les applications qui utilisent cette dll.

Pour l'instant, Microsoft ne précise pas la nature de la vulnérabilité ni les actions qu'il entend réaliser pour la colmater. Ses experts en sécurité se contentent d'informer les utilisateurs qu'ils en diront plus après avoir étudié le problème.

La société Secunia en revanche est plus prolixe.

Pour elle, une attaque qui exploiterait la vulnérabilité de mfc42.dll pourrait aboutir à un buffer overflow (en français : un dépassement de tampon) et, par définition, à l'écriture et/ou à l'exécution d'un code malicieux.

A surveiller de près donc, en attendant le prochain communiqué de Microsoft.


Source : Le Tweet du Microsoft Security Response, et le bulletin de Secunia

Lire aussi :

Tutoriel : introduction aux MFC avec Visual Studio 2008, actualisé par farscape

Les rubriques (actu, forums, tutos) de Développez :

Sécurité
Windows
C++
Et le forum MFC

Et vous ?

D'après vous, faille critique ou faille mineure ?

[ferber]

Et vous ?

D'après vous, faille critique ou faille mineure ?

J'ai toute foi dans les experts de ms pour nous le dire une fois qu'ils auront fait le tour de la question.
J'espère juste qu'entre temps personne n'aura fait de PoC.

[Caly4D]

J'ai toute foi dans les experts de ms pour nous le dire une fois qu'ils auront fait le tour de la question.
J'espère juste qu'entre temps personne n'aura fait de PoC.

Aucune raison de faire un PoC puisque les experts de MS se penchent dessus …

Les PoC ne sont faits que lorsque l'éditeur n'en a rien à faire et ne corrige pas la faille après avoir été averti de son existence et de sa dangerosité.

[ferber]

Aucune raison de faire un PoC puisque les experts de MS se penchent dessus …

Les PoC ne sont faits que lorsque l'éditeur n'en a rien à faire et ne corrige pas la faille après avoir été averti de son existence et de sa dangerosité.

Si je me réfère aux derniers évènements, les poc servent à mettre à mal le maximum de pc, dans le minimum de temps.
Et donc je me redis, j'espère que personne ne va faire de PoC au sujet de cette faille.
Mais bon, au vue de ce que j'ai pu lire aujourd'hui sur ce forum, je pense que c'est mal parti.

[azertyman]

Si je me réfère aux derniers évènements, les poc servent à mettre à mal le maximum de pc, dans le minimum de temps.

Non, les PoC ont pour objet de démontrer que c'est possible, sans aller jusqu'au bout (au moins au niveau de la publication). L'exploitation de ce code constitue un exploit.

Donc, un PoC pas besoin puisque MS s'en occupe ; mais espérons qu'il n'y aura pas d'exploit

[kaymak]

Non, les PoC ont pour objet de démontrer que c'est possible, sans aller jusqu'au bout (au moins au niveau de la publication). L'exploitation de ce code constitue un exploit.

Donc, un PoC pas besoin puisque MS s'en occupe ; mais espérons qu'il n'y aura pas d'exploit

Je rajouterais simplement la signification de PoC, pour bien en rajouter une couche sur ce que c'est, ou n'est pas.

Proof of Concept.

[Caly4D]

Les PoC ne sont faits que lorsque l'éditeur n'en a rien à faire et ne corrige pas la faille après avoir été averti de son existence et de sa dangerosité.

Si je me réfère aux derniers évènements, les poc servent à mettre à mal le maximum de pc, dans le minimum de temps.

t'as pas bien du lire ou plutôt comprendre les derniers événement alors

[ferber]

Si j'ai bien lu, la théorie :

1 - informer un éditeur de la présence d'une faille
2 - mise en ligne d'un PoC, en cas de réponse insuffisante de l'éditeur

la pratique:

1 - Mise a disposition d'un PoC sur le web après quatre jour d'attente.
2 - 10 000 attaques informatiques depuis la mi-juin.

[Invité]

D'après vous, faille critique ou faille mineure ?

Hein, quoi encore des gens qui dénigrent Windows en publiant l'existence de failles, les vilains...

Ah , non en fait c'est juste microsoft qui s'attaque à XP