Patch Tuesday : Microsoft délivre 7 bulletins de sécurité
Pour son premier Patch Tuesday de l’année, Microsoft publie 7 mises à jour de sécurité, chargées de combler 8 vulnérabilités sous Windows, dont une seulement est considérée comme « critique ».
Microsoft démarre fort l’année 2012 en publiant son Patch Tuesday pour le mois de janvier, contenant 7 mises à jour de sécurité, dont une est signalée comme critique et concerne Windows Media Player, corrigeant 8 vulnérabilités.
Le bulletin de sécurité MS12-004, qualifié de « critique », comble 2 vulnérabilités dans Windows Media qui pourraient permettre l’exécution de code à distance, si un utilisateur ouvrait un fichier multimédia spécialement conçu. Un attaquant qui parviendrait à exploiter ces vulnérabilités pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur local.
La mise à jour MS12-001 patche une vulnérabilité dans le noyau Windows. Elle pourrait permettre un contournement du composant de sécurité. Seules les applications logicielles qui ont été compilées avec Microsoft Visual C++ .NET 2003 peuvent être utilisées pour exploiter cette vulnérabilité.
Le bulletin MS12-002 corrige une vulnérabilité dans le gestionnaire de liaisons Windows, qui pourrait permettre l’exécution de code à distance ; quant au MS12-003, il comble une vulnérabilité dans le processus CSRSS (Client-Server Run-time Subsystem) Windows, pouvant permettre une élévation de privilèges (sous Windows XP, Windows Server 2003, Windows Vista et Windows Server 2008).
La mise à jour MS12-005 corrige une faille dans Windows, permettant l’exécution de code à distance si un utilisateur ouvrait un fichier Microsoft Office spécialement conçu contenant une application ClickOnce intégrée malveillante.
La mise à jour de sécurité MS12-006 comble une vulnérabilité révélée publiquement dans SSL 3.0 et TLS 1.0. Elle affecte le protocole lui-même et n’est pas spécifique au système d’exploitation Windows.
Cette faille pourrait permettre la divulgation d’informations si un attaquant interceptait le trafic Web chiffré provenant d’un système affecté.
Enfin, le bulletin MS12-007 patche une vulnérabilité dans la bibliothèque Anti-XSS(Anti-Cross Site Scripting) pouvant permettre la divulgation d’informations, si un attaquant transmettait un script malveillant à un site Web qui utilise la fonction de nettoyage de la bibliothèque Anti-XSS.
Crédit photo : © Vladislav Kochelaevs – Fotolia.com