Microsoft : correction de 23 problèmes dans Windows, IE et Exchange

Le par  |  6 commentaire(s)
Pansement

Microsoft diffuse sa fournée mensuelle de correctifs de sécurité. Le comblement de 23 vulnérabilités pour Windows, Internet Explorer, Exchange. À souligner, la correction d'une faille permettant de passer outre une mesure de protection phare de Windows.

Le Patch Tuesday du mois d'août livre ses secrets. Microsoft publie huit bulletins de sécurité dont trois critiques (pour des exécutions de code à distance) et cinq importants. Ils contiennent des rustines pour combler 23 vulnérabilités dans Windows, Internet Explorer et Exchange.

MS13-059 est une mise à jour de sécurité cumulative et critique pour Internet Explorer. Toutes les moutures du navigateur sont concernées pour l'ensemble des versions clientes de Windows. Cela couvre 11 failles divulguées de manière confidentielle dont une vulnérabilité de contournement de sandbox découverte lors du concours de hacking Pwn2Own en mars dernier.

MS13-060 est une autre mise à jour critique pour une vulnérabilité signalée confidentiellement dans le processeur de scripts Unicode présent dans Windows. Seuls sont concernés les utilisateurs de Windows XP et Server 2003. On rappellera au passage que tout support pour Windows XP prend fin le 8 avril 2014.

Microsoft recommande d'appliquer un déploiement prioritaire pour MS13-059 et MS13-060. La dernière mise à jour critique est MS13-061. Elle corrige trois failles révélées publiquement dans Microsoft Exchange. Deux d'entre elles ont pour origine un composant tiers d'Oracle dénommé Outside In.

Microsoft-Patch-Tuesday-aout-2013 

Un bug pour contourner ASLR
Même s'il n'est pas classé critique, le bulletin MS13-063 mérite d'être souligné. Il corrige une vulnérabilité révélée publiquement et trois vulnérabilités signalées confidentiellement dans le noyau Windows. À l'exception notable de Windows 8 pour les systèmes 64 bits et Server 2012, presque toutes les autres versions de Windows sont concernées.

Comme pour le contournement de sandbox avec IE, VUPEN Security confirme que MS13-063 comble une vulnérabilité utilisée lors du Pwn2Own et en l'occurrence pour un contournement de la protection ASLR.


Address Space Layout Randomization joue un rôle important dans Windows en tant que mesure de protection permettant de rendre plus difficile pour les attaquants l'exploitation de vulnérabilités. ASLR permet une allocation aléatoire de l'espace mémoire afin de minimiser les attaques de type dépassement de tampon.

Microsoft indique que la faille a été décrite par le chercheur Yang Yu de la société de sécurité chinoise NSFocus Security Labs lors de la conférence CanSecWest. Si le programme de Bug Bounty de Microsoft avait existé à l'époque, une telle trouvaille aurait pu lui permettre de gagner jusqu'à 100 000 dollars.

Complément d'information

Vos commentaires

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #1441292
Pourquoi remettre le même article en permanence ? On le connait par cœur.
Le #1441402
Pourquoi ne pas publier les failles sous Linux,
contrairement à beaucoup d'idée reçue, elles sont plus nombreuses...
Le #1441502
"une vulnérabilité de contournement de sandbox découverte lors du concours de hacking Pwn2Own en mars dernier."

"Microsoft recommande d'appliquer un déploiement prioritaire pour MS13-059 et MS13-060."

Ouais bon c'est gentil de recommander d'appliquer en priorité MS13-059 sauf que depuis Mars il y en a beaucoup qui ont du ce faire trouer

@stk176 en effet il y a plus de faille sous Linux mais elle sont généralement bouché bien plus vite.
Le #1441572
C'est un article que je trouve intéressant parce que Microsoft ne donne que très peu d'infrormations, même si on clique sur les liens où l'on devrait, parait-il trouver des informations. Je ne sais pas coment GNT fait pour nous donner ces détails, mais en tous cas, c'est bien. Merci GNT.
Le #1441682
Pourquoi ces commentaires ? On les connait par cœur...
Le #1447572
billgatesanonym a écrit :

C'est un article que je trouve intéressant parce que Microsoft ne donne que très peu d'infrormations, même si on clique sur les liens où l'on devrait, parait-il trouver des informations. Je ne sais pas coment GNT fait pour nous donner ces détails, mais en tous cas, c'est bien. Merci GNT.


Pour une fois qu'on est d'accord
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]