Microsoft : 64 failles comblées, priorité à IE et SMB

Nouveau record établi par Microsoft qui a mis en ligne une grosse fournée de correctifs de sécurité. Le Patch Tuesday d'avril 2011 entre dans les annales avec 17 bulletins de sécurité - dont 9 critiques et 8 importants - afin de combler 64 vulnérabilités.

Les produits concernés sont Windows, Office, Internet Explorer, Visual Studio, SMB, .NET Framework et GDI+ ( Graphics Device Interface ; composant pour l'interface utilisateur de l'OS ). Parmi les bulletins, MS11-034 ( bulletin important ) adresse à lui seul 30 failles dans les pilotes du noyau Windows ( élévation de privilèges ). Néanmoins, pas d'exploitation à distance possible et un attaquant doit disposer d'informations d'identification valides.

La firme de Redmond met surtout en exergue trois bulletins, et un déploiement à effectuer en priorité. Sans surprise, l'un de ces bulletins ( MS11-018 ) concerne Internet Explorer, à savoir toutes les versions du navigateurs exception faite de la mouture 9. Le navigateur est toujours un élément sensible en matière de sécurité informatique.

Parmi les cinq vulnérabilités corrigées dans IE, trois sont critiques avec la présence de la faille utilisée par le chercheur Stephen Fewer lors du dernier concours Pown2Own ( voir notre actualité ).  Microsoft fait état d'attaques ciblées qui exploitent actuellement cette faille, d'où un déploiement prioritaire. À noter toutefois que la fuite ne vient pas de Stephen Fewer. La vulnérabilité qu'il a utilisée lors du concours était encore placée sous le sceau du secret par l'organisateur TippingPoint ( HP ).

Deux autres bulletins pour SMB Client et SMB Server sont aussi à déployer en priorité. MS11-019 corrige notamment deux vulnérabilités d'exécution de code à distance dans SMB Client qu'un attaquant peut exploiter pour envoyer une réponse SMB spécialement conçue à un client qui a initié une requête. L'une des deux failles a été divulguée publiquement mi-février.

Pour plus de détails sur les autres corrections sont données sur cette page. Microsoft a également publié deux avis de sécurité. Un pour annoncer une mise à jour pour le chargeur du système d'exploitation Windows 64-bit ( winload.exe ) afin de corriger un problème au niveau de la mise en œuvre des signatures de pilotes, et un autre pour annoncer la validation de fichier Office pour la suite bureautique. Une fonctionnalité intégrée à Office 2010 dont la disponibilité pour Office 2003 et 2007 avait été évoquée fin 2010 ( voir notre actualité ).