Microsoft n'avait visiblement pas encore liquidé toutes les possibilités d'émancipation du ver informatique Stuxnet. C'est en effet l'une des surprises du Patch Tuesday de septembre, la mise à jour MS10-061 permet de combler une vulnérabilité 0-day que ce malware apparu en juillet dernier pouvait utiliser pour compromettre des systèmes.
Afin de faire barrage à Stuxnet, Microsoft avait déjà publié un correctif en urgence fin juillet pour combler la faille dite des raccourcis ( fichiers .lnk ), mais apparemment toutes les portes ne lui avaient pas été fermées. Stuxnet a été très médiatisé du fait qu'il ait pris pour cible des systèmes industriels et pesait sur lui des soupçons d'espionnage industriel aux États-Unis et en Iran.
Cette mise à jour MS10-061 comble une vulnérabilité dans le service Spouleur d'impression. Tous les systèmes d'exploitation Windows sont concernés, mais à des degrés moindres, et par défaut Windows Vista et 7 ne sont pas vulnérables. Microsoft souligne d'ailleurs que dans son Patch Tuesday de septembre, il n'y a aucun bulletin critique pour Windows 7 ou Windows Server 2008 R2 : " cela est dû aux améliorations de sécurité comme des mesures d'atténuation pour les dépassements de tas ( heap ) intégrées dans les nouveaux systèmes d'exploitation ".
Uniquement pour Windows XP, et notamment pour les ordinateurs qui partagent des imprimantes, la mise à jour est étiquetée critique. Microsoft indique avoir collaboré avec Kaspersky Lab et Symantec qui ont rapporté cette faille. Les deux " informateurs " de Microsoft ont également rapporté deux failles moins dangereuses, car exploitables uniquement en local par Stuxnet, qui seront corrigées ultérieurement.
Le Patch Tuesday ne s'arrête pas à cette seule mise à jour puisqu'au total ce sont onze vulnérabilités qui sont corrigées via neuf bulletins. Une deuxième mise à jour MS10-062 est considérée prioritaire. Elle corrige une vulnérabilité dans le codec MPEG-4 et s'applique à Windows XP, Vista ( Server 2003 et 2008 également ), mais pas à Windows 7. Cette vulnérabilité peut être exploitée dans le cadre d'une attaque lors de la consultation d'un fichier média malveillant.
Pour le reste, le tableau ci-dessous résume le contenu du Patch Tuesday de septembre 2010 ( IIS, client RPC, WordPad... ) dont le contenu plus détaillé pourra être consulté sur cette page ( en français ).
