Patch Day Microsoft : 3 bulletins dont un critique
Publié par Olivier Robillart le | Mis à jour le
Mais la faille dans Excel est oubliée
On ne perd pas les habitudes du côté de Redmond et de la côte ouest des Etats-Unis. Pas moins de trois bulletins de sécurité tous relatifs à Windows ont été publiés. Pour autant, un seul de ces bulletins est qualifié de critique, les sept autres ont été qualifiés d'importants. Ces rustines corrigent en tout 8 failles.
Au sommaire trois bulletins concernent principalement le noyau de l'OS Windows. Le patch jugé critique vient ici combler trois vulnérabilités du noyau Windows, liées à « la gestion des images .emf et .wmf et susceptibles d'entraîner l'exécution de code à distance« . La vulnérabilité concerne toutes les versions de Windows, de 2000 à Vista, ainsi que les éditions Server 2003 et 2008.
Le premier des deux bulletins classés « importants » corrige une vulnérabilité au niveau du fonctionnement de Secure Channel (composant d'authentification de Windows) sous Windows 2000, XP, Vista ainsi que dans les deux versions de Server. Une faille qui, si elle est non corrigée peut entraîner des phénomènes d'usurpation d'identité électronique. Un éventuel pirate ayant obtenu au préalable un certificat d'authentification, afin de se connecter à un serveur distant pouvait alors voler des identités sans pour autant être en possession de la clé privée associée.
Le troisième bulletin contient des correctifs pour quatre failles des composants DNS et WINS, qui permettent à un pirate d'usurper et de re-diriger le trafic réseau. La mise à jour s'applique uniquement à Server 2003 et 2008.
Comme à son habitude, Microsoft publie les détails du patch et les failles visées. Histoire d'être complet.
Par contre, ce bulletin mensuel ne propose pas de rustine pour la faille touchant Excel 2007. Ce trou est actuellement exploité par les pirates. Le mode opératoire est classique : un document .xls piégé permet d'infecter un utilisateur à travers un cheval de Troie (Trojan.Mdropper.AC) qui permet l'exécution de code à distance.