Posts Tagged ‘Faille’

Pluie de bugs, de bouchons et de Service Pack

Posté on 09 juin 2010 at 3:01

Patch Tuesday en juin, si t’en loupes un, çà fera du foin (proverbe de RSSI). 10 rustines, 34 vulnĂ©rabilitĂ©s, 6 exploitations Ă  distance et 3 Ă©lĂ©vations de privilĂšges. Le dernier mardi des rustines signĂ© Microsoft a un cĂŽtĂ© Omaha Beach assez spectaculaire. Sans faire de sensationnalisme, l’on ne peut qu’inciter les administrateurs Ă  dĂ©ployer dans l’urgence MS10-032, MS10-033, MS10-034 et MS10-035. MS10-033, une vulnĂ©rabilitĂ© dans les mĂ©canismes de dĂ©compression d’un fichier multimĂ©dia, a tout pour fabriquer une belle attaque par MJpeg forgé  un grand classique. MS10-035, l’inĂ©vitable « cumulatif I.E. » du mois, bouche Ă  lui seul 6 bulletins CVE, dont certains ouvrent la porte Ă  une exploitation Ă  distance et dont un autre a valu Ă  son inventeur une place d’honneur et une prime de 10 000 $au concours P0wn2Kill de CanSecWest. MS10-038, pour sa part, ne corrige pas une faille Excel
 mais 14 (dont une spĂ©cifique Ă  l’édition Mac). Notons que la MS10-032 (Windows kernel), est considĂ©rĂ©e par certains spĂ©cialistes -dont eEye- comme Ă©tant « critique ». L’avis du Sans est bien plus pessimiste, puisque 9 des bulletins sur 10 sont qualifiĂ©s de « critique », soit au niveau des serveurs, soit dans le cadre de l’utilisation des stations de travail. Aucun dĂ©faut ne porte pourtant l’estampille « patch now » qui caractĂ©rise gĂ©nĂ©ralement une faille exploitĂ©e «dans la nature ».

Une rustine pouvant en cacher une autre, signalons qu’à l’occasion du Tech’Ed 2010 qui se dĂ©roule actuellement, l’on annonce la disponibilitĂ© fin juillet de la prĂ©-version des SP1 Windows 2008 R2, de Windows 7 et d’Exchange Server 2010. Le SP de 2008 Server intĂšgrera notamment Remote FX, intĂ©gration des technologies Calista dans la gamme « remote desktop » de Microsoft. L’on attend Ă©galement une version d’HyperV disposant d’une meilleur gestion dynamique de la mĂ©moire. Il ne faudra pas trop des vacances pour effectuer les tests de rĂ©gression de ces « super bouchons », surtout sur les architectures serveur

Calme plat chez Apple qui, consciencieusement, suit Ă  la lettre l’école Microsoft et diffuse Ă  sa sauce le brouet du « patch cumulatif du navigateur web ». Mais pour se distinguer de son concurrent, le constructeur-Ă©diteur-prestataire de services fait des efforts et colmate d’un coup 48 trous de sĂ©curitĂ©. La mise Ă  jour Safari 5.0 concerne aussi bien les utilisateurs de plateformes OS X que Windows.

Chez Adobe, cela fait plusieurs jours qu’une exploitation « dans la nature » s’attaque Ă  une faille de Flash Player. F-Secure en dĂ©crit rapidement le principe, et l’éditeur assure qu’il travaille encore sur la rustine et qu’a priori, la prĂ©version de la 10.1 ne serait pas malade de cette peste. A noter Ă©galement la dĂ©tection, toujours par F-Secure, d’un « dropper » exploitant un exploit PDF.