Réunion de contribution #9
Le lot de correctifs mensuels de Microsoft corrige une faille critique dans Internet Explorer 7 qui pourrait permettre à un site Web malveillant d'installer un logiciel malveillant sur un PC vulnérable avec un correctif pour le diagramme Visio Logiciel. Et les entreprises qui utilisent un serveur Microsoft Exchange ou SQL voudront appliquer immédiatement les correctifs essentiels.
Le bulletin de Microsoft dit que le code d'attaque qui cible la faille IE7 de MS09-002 "peut être facilement créé", alors assurez-vous de Windows Update. L'Internet Storm Center signale qu'il n'y a pas encore d'attaques connues, mais il affecte à la fois XP et Vista. Mais seulement IE7, de façon intéressante, et pas les versions antérieures du navigateur.
Vous trouverez également un correctif pour le logiciel Visio qui peut permettre à un attaquant d'exécuter n'importe quelle commande si vous ouvrez un fichier Visio piraté. Le programme est populaire parmi les administrateurs de réseaux et de serveurs qui ont généralement des autorisations étendues sur leurs réseaux, donc je ne serais pas du tout surpris de voir une attaque ciblée venir après cette faille. Obtenez plus d'informations et le correctif du bulletin MS09-005.
Les deux autres correctifs concernent les serveurs - Exchange et SQL Server. Selon l'ISC, il y a eu du code d'exploitation pour le défaut du serveur SQL depuis décembre, donc si vous avez un serveur SQL accessible au public (via un site Web), planifiez un correctif d'urgence pour éviter une injection SQL ou autre. Obtenez les détails à la page MS09-004.
Faites de même pour votre serveur Exchange de la société, qui pourrait être repris par un message TNEF spécialement conçu envoyé par un attaquant. Aucune attaque connue contre celui-ci pour le moment, selon l'ISC, mais n'attendez pas qu'on vous montre. Microsoft MS09-003.
Mise à jour: Concernant la vulnérabilité du serveur SQL MS09-004, Microsoft affirme que même si la faille peut être ciblée après une attaque par injection SQL réussie, la faille MS09-004 n'est pas elle-même un SQL vulnérabilité à l'injection.
Quatre correctifs Microsoft doivent être disponibles mardi; Microsoft publiera quatre correctifs de sécurité importants pour ses produits Windows, Exchange et SQL mardi prochain.
Microsoft publiera quatre correctifs de sécurité pour ses produits Windows, Exchange et SQL mardi prochain, tous jugés «importants».
Un bug SMB corrigé par Microsoft mardi a été rendu public il y a plus de sept ans. Certains correctifs de sécurité prennent du temps. Sept ans et demi, en fait, si vous comptez le temps qu'il faudra à Microsoft pour corriger un problème de sécurité dans son service SMB (Server Message Block), corrigé mardi. Ce logiciel est utilisé par Windows pour partager des fichiers et imprimer des documents sur un réseau.
Dans un blog, Microsoft a reconnu que "des outils publics, y compris un module Metasploit, sont disponibles pour effectuer cette attaque". Metasploit est une boîte à outils open-source utilisée par les pirates et les professionnels de la sécurité pour créer du code d'attaque.
Microsoft publiera des correctifs de sécurité critiques pour IE et Exchange la semaine prochaine et des correctifs importants pour SQL Server et Visio.
Microsoft prévoit de corriger les failles critiques de ses logiciels Internet Explorer et Microsoft Exchange Server la semaine prochaine.