Microsoft Patch Tuesday : plus de 30 vulnérabilités corrigées en août

Pas de congés estivaux pour le Patch Tuesday. La mise à jour mensuelle de sécurité que Microsoft vient de livrer comportent 9 bulletins, dont 5 classés comme critiques et 4 jugés importants. Sont concernés les navigateurs Edge et Internet Explorer, les suites bureautiques Office et Communications Platforms (Skype for Business, Lync), sans oublier Windows. Au total, pas moins de 34 vulnérabilités sont corrigées. De quoi largement occuper les administrateurs systèmes qui ne sont pas sur les plages.

Ces derniers auront tout intérêt à se pencher en priorité sur le bulletin, critique, MS16-099. Lequel concerne toutes les versions d’Office encore supportées (d’Office 2007 à 2016, y compris la version 2013 RT et Mac). Le correctif devrait prévenir des risques de prise de contrôle à distance de la machine par un attaquant qui parviendrait à faire ouvrir un document Office infectieux. Un classique du genre dans les méthodes d’attaques, particulièrement dans les environnements professionnels, ou le cybercriminel parvient à se faire passer pour quelqu’un d’autre afin d’inciter sa cible à cliquer sur un fichier joint à un e-mail.

Internet Explorer et Edge à la page

Les entreprises qui utilisent les navigateurs de Redmond auront également intérêt à appliquer les bulletins MS16-095 et MS16-096 afin de prévenir les risques d’exécution de code à distance. Là encore, il faut que l’utilisateur se rende sur une page web vérolée pour que l’attaquant puisse exploiter la brèche décrite dans ces bulletins. Le bulletin MS16-095 concerne les versions 9, 10 et 11 d’Internet Explorer sur Windows Vista, 7, 8.1 et 10 ainsi que Windows Server 2008 SP2 et 2012 R2. Le MS16-096 est consacré à Edge pour l’ensemble des versions de Windows 10.

Autre bulletin critique, le MS16-097. Celui-ci corrige une faille dans la gestion des polices de Windows. La bibliothèque de polices fait régulièrement l’objet de tentatives d’attaques à travers l’envoi de fichiers contenant des polices vérolées ou de liens vers des pages web ; des attaques visant à exécuter du code à distance pour prendre le contrôle de la machine affectée. Microsoft note que les utilisateurs avec des droits systèmes restreints « pourraient être moins touchés que ceux qui possèdent des privilèges d’administrateur ». Mais, l’usage du conditionnel incite à déployer le correctif largement.

PDF dangereux

Dans le même registre, notons le MS16-102 qui corrige une faille dans la façon dont Windows gère les fichiers PDF. Un PDF infectieux ouvert dans Windows 8.1, 10 et les différentes éditions de Server 2012 pourrait accorder à l’attaquant les mêmes privilèges que ceux de l’utilisateur. Un profil administrateur ouvrirait donc les portes du système au cybercriminel en offrant la possibilité d’exécuter du code à distance.

Enfin, Amol Sarwate, directeur du laboratoire des vulnérabilités de Qualys, juge également primordial d’appliquer en priorité le bulletin MS16-101. Bien que classé seulement comme Important, il corrige deux vulnérabilités des protocoles Netlogon et Kerberos sous Windows dont l’exploitation réussie permet une élévation de privilèges système. Les autres bulletins classés Important permettent également des élévations de privilèges, des risques de fuite d’information ou des contournements des fonctionnalités de sécurité. Leur application n’est donc pas à négliger.

Lire également
Linux + Windows = un nouveau cauchemar sécuritaire ?
Après SAP, les ERP d’Oracle étalent leurs multiples failles de sécurité
Comment le Machine Learning aide à débusquer les failles de sécurité

crédit photo © drx – Fotolia.com