Comme pour chaque deuxième mardi du moi, Microsoft a diffusé un ensemble de mises à jour de sécurité contenant des correctifs pour combler des failles de sécurité dans divers de ses produits. En l'occurrence, pour cet ultime Patch Tuesday de 2012, sont concernés Windows, Internet Explorer, Word et Windows Server avec une douzaine de vulnérabilités à corriger.
Cinq des sept mises à jour proposées sont étiquetées critiques, à savoir le niveau de dangerosité le plus élevé dans l'échelle de Microsoft. Une exploitation peut mener à une exécution de code à distance. Microsoft a établi des priorités et identifie deux mises jour à déployer en premier lieu : MS12-077 et MS12-079.
MS12-077 est une mise à jour de sécurité cumulative pour Internet Explorer. Les bugs de sécurité qui touchent le navigateur Web sont généralement ceux auxquels il faut apporter une attention particulière dans la mesure où ils sont fréquemment exploités par les attaquants et parce que les utilisateurs ont recours au navigateur pendant de longues heures.
La mise à jour est assez atypique car elle corrige trois bugs dans IE9 et un dans IE10. Pour Internet Explorer 10 présent dans Windows 8 ( et prochainement proposé pour Windows 7 ), c'est une première. Pour les versions antérieures d'Internet Explorer, il y a également une action correctrice mais Microsoft ne fait pas état de vulnérabilités à proprement parler.
Il est probable que les exploits conçus pour IE9 et IE10 ne seront pas fonctionnels avec IE6, IE7 ou IE8. Soulignons par ailleurs que les failles ont été signalées confidentiellement et Microsoft n'a pas connaissance d'une exploitation en cours.
À noter également que IE10 bénéficie d'une mise à jour en relation avec Flash Player d'Adobe. Le navigateur intègre un plugin par défaut et Microsoft se charge de la diffusion des mises à jour via Windows Update.
MS12-079 corrige une vulnérabilité signalée confidentiellement dans Word pour ses éditions 2007 et 2010. Elle modifie la manière dont Word traite les données au format RTF ( Rich Text Format ). Le scénario d'attaque le plus plausible est l'envoi d'un email malveillant dans Outlook alors que Word est configuré en tant que visionneuse. Microsoft n'a toutefois pas eu vent d'une attaque en cours.
Parmi les autres mises à jour de sécurité, on remarquera MS12-078 qui contient des correctifs pour les nouveaux systèmes d'exploitation Windows 8 et Windows RT. Une vulnérabilité révélée publiquement et une vulnérabilité signalée confidentiellement dans les pilotes en mode noyau de Windows.
À moins d'une publication en urgence d'ici la fin de l'année, Microsoft va terminer 2012 avec la publication d'un total de 83 mises à jour de sécurité contre 100 en 2011.
