Microsoft : une nouvelle vague de correctifs malgré le SP2

C’est une véritable pluie de correctifs qui s’abat sur les utilisateurs de Windows avec le nouveau bulletin mensuel de sécurité de Microsoft : pas moins de neuf failles de sécurité, dont six considérées comme « critiques », ont été recensées, concernant les systèmes Windows XP, 2000, Server 2003 (versions 32 et 64 bits), NT 4 SP6, 98, 98 SE et Millenium, ainsi que les serveurs Web IIS.

Ces failles affectent de nombreuses fonctions des systèmes d’exploitation concernés. Le bulletin MS04-032 décrit ainsi des problèmes dans la gestion des fenêtres, la machine virtuelle DOS, le moteur de rendu graphique, le noyau de Windows… Une vulnérabilité concerne les dossiers compressés (MS04-034), des problèmes rencontrés dans la façon dont Windows Shell lance les applications (MS04-037), etc. En résumé, ces failles pourraient permettre à un attaquant de prendre le contrôle à distance de l’ordinateur affecté, par l’intermédiaire d’un virus, d’une page Web ou d’un fichier compressé. A ce propos, Microsoft a republié le correctif (MS04-028) qui colmate la brèche constatée dans la manipulation des fichiers Jpeg (voir télégramme du 15 septembre 2004).

Un seul correctif pour le SP2

Les utilisateurs de Windows XP qui ont effectué la mise à jour du SP2 (voir notre dossier) ne sont concernés que par le bulletin MS04-038 qui affecte essentiellement Internet Explorer en versions 5.01, 5.5, 6.0 et 6.0 SP1. Microsoft a également publié le bulletin MS04-028 qui signale des vulnérabilités dans Office XP, Visio 2002 et Project 2002 pour les systèmes Windows XP SP2. Enfin, le bulletin MS04-033 décrit les failles critiques qui affectent Office 2000 SP3, Excel 2000, Office XP SP2 et Excel 2002. Pour protéger son système, le plus simple – pour les utilisateurs qui n’auraient pas activé les mises à jour automatiques – est d’utiliser l’outil Windows Update. Cette mise à jour est d’autant plus urgente à effectuer que les failles, désormais révélées, pourraient donner lieu à de nouvelles attaques de pirates qui tenteront de profiter des systèmes non corrigés pour commettre leurs méfaits.