Microsoft Patch Tuesday : 11 correctifs et quelques révisions

Microsoft a publié son nouveau ‘Patch Tuesday’, son bulletin mensuel de sécurité pour lequel les développeurs de l’éditeur n’ont pas chômé. Finalement, onze correctifs (et non douze comme l’avait annoncé Redmond dans son pre-patch tuesday), dont six critiques vont animer les journées (et soirées) des responsables systèmes en cette période estivale. Sans oublier quelques « révisions mineures » selon Microsoft. Au total, pas moins de 26 applications de Redmond sont concernées par le bulletin du mois d’août.

Le gestionnaire du système des couleurs (ICM) de Windows, Internet Explorer, Office Excel, Access, PowerPoint et les filtres utilisés pour Office connaissent des vulnérabilités qui, bien exploitées, permettront à une personne malintentionnée d’exécuter du code à distance.

Cinq autres applications sont concernées par des failles estimées « importantes » seulement alors que certaines peuvent autoriser le contrôle total à distance du système affecté. C’est le cas de Windows Event System (le système des événements) dont les erreurs de codage ne valident pas certaines données permettant ainsi à un attaquant d’obtenir les privilèges systèmes. IPsec, la procédure de sécurisation du protocole IP de Windows, est également concernée. Ses failles peuvent obliger les systèmes à ignorer les règles de sécurité et transmettre des informations du trafic en clair.

Outlook Express et Windows Mail, Messenger et Word (avec risque d’exécution de code distant pour ce dernier) sont également affectés de différentes vulnérabilités de sécurité que le bulletin d’août est censé corriger.

Correctifs de correctifs

D’autre part, Microsoft profite de sa mise à jour mensuelle pour revoir les correctifs de précédents bulletins. Notamment le MS07-047 classé « important » et qui concerne Windows Media Player. Le correctif concerne uniquement le système de détection pour Windows XP SP3. SQL Server 2005 Service Pack 2 (MS08-040) et Microsoft Baseline Security Analyzer (MBSA) 2.1 (MS08-033) connaissent également des révisions mineures respectivement dans le code d’installation et dans le système de détection. Mineures mais à ne pas négliger.

Face aux risque d’attaque « Zero Day », les patches doivent être appliqués dans les meilleurs délais. Soit de manière automatisée (via les services Update de Windows ou Microsoft), soit manuellement en fonction des configurations systèmes en s’aidant éventuellement de l’outil d’analyse Microsoft Baseline Security Analyzer (MBSA) ou en se reportant aux informations publiées par Microsoft sur son site Technet Security (dont la version américaine est à privilégier puisque, à l’heure de la rédaction de ces ligne, le site français s’en tient toujours au bulletin de sécurité du mois de juillet).