Microsoft met à jour son bulletin de sécurité de juin

Microsoft vient de publier une nouvelle recommandation de son précédent bulletin de sécurité MS06-025. L’éditeur invite ses utilisateurs qui ne l’auraient pas encore fait à appliquer de toute urgence les correctifs de cette mise à jour du bulletin de juin (voir édition du 13 juin 2006). Des exploit (instructions qui permettent l’exploitation de la faille) circuleraient en effet sur Internet.

Windows 2000 Service Pack 4, Windows XP SP1 et 2 ainsi que la version Professional x64 Edition et Windows Server 2003/SP1/x64 Edition sont concernés par le nouveau correctif que Microsoft préfère diffuser sans attendre le prochain bulletin mensuel de sécurité (prévu le 11 juillet). Comme le précise l’éditeur, « les utilisateurs devraient appliquer cette mise à jour immédiatement ». Sont en revanche épargnés les versions 98, 98 SE et Me du système d’exploitation par simple absence des composants affectés.

La vulnérabilité se situe au niveau du gestionnaire de connexion d’accès distant (Remote Access Connection Manager ou RASMAN) qui a été affecté par les précédents correctifs. Celle-ci permet l’exécution de code non autorisé qui permet de prendre le contrôle distant de la machine affectée. Toutefois, Microsoft précise que le RASMAN n’est lancé par défaut que dans Windows 2000 SP4, lequel constitue donc la plate-forme la plus sensible à la faille de sécurité.

Windows SP2 et Server 2003 mieux protégés

Sous Windows XP SP2 et Windows Server 2003, l’exploitant éventuel de la brèche de sécurité doit posséder un identifiant et mot de passe valide et se connecter localement. Ce qui limite le potentiel d’exploitation de la faille. A défaut d’appliquer le correctif du bulletin MS06-025, Microsoft préconise l’arrêt du service RASMAN ainsi que le blocage d’un certain nombre de ports (UDP 135, 137, 138, 445, et TCP 135, 139, 445, 593).

Mais à peine une brèche est comblée que l’éditeur de Windows doit faire face à de nouvelles vulnérabilités. Selon Secunia, un certain Plebo Aesdi Nael aurait découvert deux vulnérabilités qui affectent Internet Explorer et qui permettrait de contourner les mesures de sécurité du navigateur. Jugées modérées, les failles n’ont – pour l’heure – pas de correctif.