Une faille critique découverte dans l’antivirus Trend Micro
Une faille de sécurité béante, permettant notamment de voler les mots de passe, a été découverte dans la solution de sécurité Trend Micro par un ingénieur travaillant pour Google.
On peut parfois comprendre que certains développeurs de logiciels laissent passer par erreur quelques petites failles de sécurité. Mais cela devient impardonnable lorsque l’on découvre qu’un logiciel censé protéger nos machines contient une brèche béante qui permet de faciliter leur piratage.
Le célèbre antivirus de la firme Trend Micro s’apprête à passer des heures plutôt agitées, une faille critique facilement exploitable ayant été découverte au sein du logiciel par un chercheur en sécurité de Google.
L’arroseur arrosé
Trend Micro œuvre depuis les années 80 dans le domaine de la sécurité informatique et l’antivirus est très populaire, notamment dans le monde professionnel. La découverte de Tavis Ormandy, spécialiste des questions de sécurité au sein de Google Zero, risque de mettre à mal l’image de Trend Micro.
Dear @trendmicro, wtf were you thinking? This bug is completely ridiculous. Will send full report in a minute. Sigh. pic.twitter.com/hEysaaht8f
— Tavis Ormandy (@taviso) January 5, 2016
Après Sophos, Kaspersky ou AVG, c’est au tour de Trend Micro de subir la loi de Tavis. Cette fois, c’est dans le gestionnaire de mots de passe Password Manager que l’expert a mis le doigt sur un gros problème de sécurité. Le pire, c’est qu’il n’aurait fallu que 30 secondes à l’expert pour exploiter cette faille béante.
Les mots de passe exposés
En analysant le code source du logiciel, TavisOrmandy a découvert que ce dernier ouvrait plusieurs ports pour exécuter des requêtes API. En fouillant un petit peu, il a remarqué notamment un port HTTP non sécurisé qu’il a utilisé pour prendre le contrôle d’une machine à distance et exécuter du code malveillant dans la foulée. En approfondissant sa recherche, il sera parvenu à récupérer des mots de passe ainsi que l’outil qui permettait leur déchiffrement à distance.
Bien entendu, le chercheur a rapidement contacté les équipes de Trend Micro pour leur exposer le problème et a publié ses échanges de mail avec la firme dans lequel il n’est pas tendre avec ses ingénieurs. Trend Micro a publié un patch permettant de combler ces failles critiques. Si vous utilisez le logiciel, nous vous conseillons de l’installer au plus vite.