Microsoft : 4 bulletins pour 9 vulnérabilités de sécurité

Pas de surprise pour ce Patch Tuesday de juillet avec comme prévu dans la besace de Microsoft 4 bulletins de sécurité dits importants. Reste que si une vulnérabilité particulière doit être mise en exergue, c'est bien celle découverte, par hasard de son propre aveu,  par Dan Kaminsky et qui a fait planer une menace sur l'Internet mondial (voir notre actualité). Néanmoins, même si l'alerte a apparemment été chaude et a donné lieu à une collaboration sans précédent entre plusieurs éditeurs, Microsoft n'a pas octroyé le qualificatif de critique à cette vulnérabilité dont l'exploitation est sans doute assez complexe à mettre en oeuvre.

MS08-037 : Cette mise à jour de sécurité corrige deux vulnérabilités signalées confidentiellement dans le DNS de Windows qui pourraient permettre l'usurpation de contenu. Ces vulnérabilités qui existent dans le client et dans le serveur DNS pourraient permettre à un attaquant distant de rediriger le trafic réseau à destination de systèmes Internet vers ses propres systèmes. Rappelons que Windows n'est pas le seul système a être affecté.

MS08-038 : Cette mise à jour de sécurité corrige une vulnérabilité de l'Explorateur Windows qui pourrait permettre l'exécution de code à distance lorsqu'un fichier de recherche enregistrée spécialement conçu est ouvert et enregistré. Si un utilisateur a ouvert une session avec des privilèges d'administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté.

MS08-039 : Cette mise à jour de sécurité corrige deux vulnérabilités dans Outlook Web Access (OWA) for Microsoft Exchange Server. Un attaquant qui parviendrait à exploiter ces vulnérabilités pourrait accéder aux données de session d'un client OWA individuel, permettant ainsi une élévation de privilèges.

MS08-040 : Cette mise à jour de sécurité corrige quatre vulnérabilités dans SQL Server. La vulnérabilité dont l'impact est le plus élevé pourrait permettre à un attaquant d'exécuter du code et de prendre le contrôle intégral d'un système affecté. Un attaquant authentifié pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de droits administratifs complets.

Ce Patch Tuesday est relativement léger, et Microsoft laisse donc en suspens la vulnérabilité ActiveX affectant Office Snapshot Viewer Access pour laquelle elle mène actuellement des investigations.