Microsoft a publié son bulletin de sécurité mensuel au milieu d'une rafale de vulnérabilités 0 day révélées la semaine passée. La mise à jour de ce mois-ci est composée de 7 bulletins dont trois considérés comme critiques. Au total 11 failles de sécurité ont été fermées y compris des vulnérabilités dans Microsoft Internet Explorer, Windows Media Player et Visual Studio 2005.
Les correctifs pour les bugs dans Internet Explorer et Media Player devraient être en tête de liste des mises à jour étant donné que ces deux applications sont extrêmement fréquentes sur les ordinateurs des utilisateurs. Lorqu'elles sont critiques, ces brèches peuvent amener à la prise de contrôle de tout le système par un malfaiteur via l'exécution d'un code à distance. Le troisième bulletin critique propose un correctif pour un problème dans Microsoft Visual Studio 2005, où les attaquants peuvent exploiter le controle ActiveX WMI Object Broker afin d'exécuter un code arbitraire sur le système victime.
Sur les quatres bulletins qualifiés d'importants, trois concernent des vulnérabilités qui peuvent également conduire à l'exécution d'un code arbitraire, mais sont quotés comme étant de moindre importance à cause de la nature des composants touchés. En effet, Simple Network Management Protocol (SNMP) et Remote Installation Service (RIS) ne sont pas activés par défaut dans Windows ce qui minimise l'impact. La faille du fichier du répertoire d'adresses de Windows dans Outlook Express peut aussi entraîner l'exécution d'un code à distance mais cela nécessite l'intéraction avec l'internaute d'où son niveau d'importance moindre. La quatrième vulnérabilité considérée comme critique entraînait une élévation des privilèges.
Au départ, six bulletins étaient prévus mais Microsoft a décidé d'ajouter des correctifs pour deux brèches dans son Media Player au dernier moment pour la bonne et simple raison que ces dernières sont déjà exploitées dans la nature. Deux failles 0day dans Microsoft Word n'ont pas bénéficié de ce régime de faveur quoique récemment découvertes. Microsoft étudie en ce moment ces deux failles et pourrait éditer un patch lors de son bulletin mensuel prochain.
Nous recommandons fortement aux utilisateurs de télécharger rapidement les correctifs via les mises à jour automatiques ou manuellement depuis Microsoft TechNet.
