Douze nouvelles failles de sécurité dans Firefox

Le navigateur internet est affecté par une nouvelle série de vulnérabilités, dont cinq jugées critiques. La Mozilla Foundation a publié une mise à jour automatique, qui n'empêche pas cependant de s'interroger sur la sécurité de Firefox.

La Mozilla Foundation vient de publier une mise à jour de son navigateur internet, qui corrige douze failles de sécurité dont cinq jugées "critiques". Il s'agit du plus gros correctif de sécurité pour la version 1.5 de Firefox, depuis son lancement à l'automne 2005.

Ce correctif, "Firefox 1.5.0.4", résorbe notamment une vulnérabilité qui pourrait permettre d'exécuter du code JavaScript arbitraire avec des privilèges élevés. Elle peut être exploitée par une personne malintentionnée afin de prendre le contrôle à distance d'une machine.

«Nous recommandons à tous nos utilisateurs d'installer la mise à jour 1.5.0.4», indique la Mozilla Foundation. Rappelons que l'internaute n'a pas à lancer lui-même le téléchargement du correctif, puisque c'est le navigateur qui va lui proposer via une fenêtre de dialogue. Une fois l'opération effectuée, il faut redémarrer le navigateur afin que les mises à jour soient prises en compte.

Ce nouveau correctif, orienté sécurité, est le troisième du genre dédié à Firefox 1.5. La version précédente du navigateur avait bénéficié de huit mises à jour (la mouture 1.0.8 corrigeant jusqu'à 19 failles).

À l'image d'Internet Explorer de Microsoft, le navigateur libre accumule donc les alertes de sécurité. Peut-on pour autant en conclure que son niveau de sécurité n'est pas à la hauteur de sa réputation?

Firefox de moins en moins sécurisé?

«Ce qui fait la sécurité de Firefox, c'est l'énergie dépensée à découvrir des vulnérabilités, combinée à la rapidité pour les corriger», répond Tristant Nitot, président de Mozilla Europe.

Selon lui, ce n'est donc pas parce qu'un navigateur est affecté par de nombreuses failles qu'il manque de sécurité. «La plupart des vulnérabilités sont décelées par des développeurs du projet Mozilla», poursuit-il. Et d'ajouter que la Mozilla Foundation ne communique pas de détails sur la nature des failles avant de proposer un correctif, afin de limiter leur exploitation.

En 2005, l'éditeur antivirus Symantec n'avait pas hésité à montrer que le navigateur libre n'était pas plus sécurisé qu'Internet Explorer, en recensant deux fois plus d'alertes de sécurité concernant Firefox que le navigateur de Microsoft, sur le premier semestre 2005.

Un avis que partage aujourd'hui le Cert-IST français, centre de surveillance en sécurité informatique dédiée aux entreprises dans l'industrie et les services. «Il est difficile d'affirmer qu'un navigateur est plus sécurisé qu'un autre», indique un de ses responsables. «Ce qui est certain c'est que communiquer sur des failles est toujours mieux que de les ignorer.»

L'organisme se dit, par ailleurs, favorable au système mis en place par la Mozilla Foundation, qui publie un correctif lorsqu'elle l'estime nécessaire, sans calendrier fixé à l'avance. Un système à l'opposé de Microsoft qui ne propose de correctifs qu'une fois par mois, à l'exception de cas d'extrême urgence.

Une périodicité qui avait déjà mené le Cert-IST en 2004 à conseiller l'utilisation d'un autre navigateur qu'IE en attendant l'arrivée du correctif mensuel.