Archives par mot-clé : Microsoft

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Oracle, Patch

Grosses mises à jour Microsoft et Adobe

Microsoft a publié ce 8 juillet six bulletins pour des vulnérabilités qui affectent toutes les versions d’Internet Explorer, de Windows ainsi que des composants pour serveur. Deux vulnérabilités sont considérées comme « critiques » car elles autorisent l’exécution de codes à distance (RCE), tandis que trois sont signalées comme « importantes » dans la mesure où elles autorisent une élévation de privilèges internes sur Windows.

Le patch le plus critique est le bulletin 1. Il concerne toutes les versions d’Internet Explorer (IE) depuis la version 6 du navigateur, désormais uniquement prise en charge sur Windows Server 2003 depuis l’arrêt du support de XP, jusqu’à la toute dernière version IE 11 sur Windows 8.1 et R. Ce patch doit être une priorité pour vous car la plupart des attaques s’appuient d’une manière ou d’une autre sur votre navigateur Web. Les derniers chiffres publiés dans le rapport Microsoft SIR v16 démontrent clairement que les attaques Web, notamment via Java et Adobe Flash, sont les plus courantes.

Le bulletin 2 est une mise à jour critique pour Windows. Toutes les versions de Vista, Windows 7, 8 et RT pour poste de travail sont concernées. Concernant l’aspect serveur, toutes les versions sauf la plus ancienne, Windows Server 2003, sont affectées. La mise à jour imposera de réinitialiser le système, un paramètre à inclure dans votre planning, plus particulièrement côté serveur.

Les bulletins 3, 4 et 5 traitent de vulnérabilités liées à des élévations de privilèges dans Windows. Toutes les versions de Windows sont concernées. Il s’agit de vulnérabilités locales qui ne permettent pas d’exécuter du code à distance via le réseau, mais qui imposent à l’attaquant d’être déjà présent sur la machine ciblée en tant qu’utilisateur normal ou standard. Les exploits pour ces types de vulnérabilités font partie de la boîte à outils de tout pirate qui a obtenu un compte sur la machine ciblée, après avoir subtilisé des certificats. Dans tous les cas de figure, l’attaquant souhaitera pouvoir contrôler la machine en permanence et, pour ce faire, il devra devenir administrateur de cette dernière afin d’y installer son code de contrôle malveillant. C’est à ce moment que ces vulnérabilités entrent en jeu. Nous estimons donc que résoudre ces dernières est une priorité absolue pour contrarier ou ralentir les attaquants installés sur la machine ciblée.

Enfin, le bulletin 6 traite une vulnérabilité par déni de service (DoS) dans le Service Bus de Windows. Le Service Bus est un tout nouveau composant de Windows utilisé dans l’environnement Windows Azure pour développer des applications hétérogènes. Selon nos estimations, rares sont les entreprises qui ont installé ce composant. Sur Azure, Microsoft se charge de déployer le correctif à votre place.

Courant juillet, Oracle publiera sa mise à jour des patchs critiques (CPU). Elle devrait être diffusée le 15 juillet et fournir des correctifs pour des centaines de vulnérabilités. La pertinence de ces patchs pour votre entreprise dépend de votre inventaire logiciel, mais, dans tous les cas, la mise à jour de Java sera incontournable pour la plupart des entreprises.

Même chose pour ADOBE. Il est d’ailleurs conseillé de se rendre sur le site afin de mettre à jour rapidement l’outil Flash Player. Une mise à jour d’Adobe Flash indispensable. Passez rapidement vers la version 14.0.0.145 qui tourne sur les systèmes Windows, Mac et Linux. Voyez le site ADOBE pour connaitre votre version de flash installée. (avec Wolfgang Kandek, CTO Qualys)

Identité numérique, Particuliers, Vie privée

Microsoft met à jour sa déclaration de confidentialité

Microsoft vient d’annoncer, sans trop de bruit, la modification de ses conditions d’utilisation et sa déclaration de confidentialité.

« Dans tout ce que nous faisons, indique le géant américain, nous avons à cœur de tenir compte des besoins de nos utilisateurs. C’est pourquoi nous avons décidé de mettre à jour le Contrat de services Microsoft et d’élaborer une Déclaration de confidentialité pour les services Windows. » Dans les principales modifications, et sur ce qu’elles impliquent pour les utilisateurs, une modification de la « Confidentialité ».

Microsoft indique s’engager à respecter la vie privée de ses utilisateyrs en toutes circonstances. « C’est pourquoi nous n’utiliserons jamais à des fins de ciblage publicitaire vos documents, photos ou autres fichiers personnels, ni ce que vous pouvez être amené à dire dans vos e-mails, conversations instantanées, appels vidéo ou messages vocaux« . Dans ses modifications, la firme de Redmond stipule aussi qu’elle allait avoir un peu plus de transparence. « Nous avons mis à jour notre Code de conduite afin de mieux vous faire comprendre les types de comportement susceptibles d’avoir des conséquences sur votre compte. »

Microsoft en profite pour rappeler que les parents sont responsables de l’usage que leurs enfants mineurs font de leur compte et des services Microsoft, y compris des achats effectués par ce biais. Bilan, un peu plus de responsabilité des parents ne fera pas de mal… surtout si Microsoft rabat ses avocats sur des parents pensant que le petit dernier de la famille joue aux Pokémons sur la toile.

Les nouvelles conditions prendront effet le 31 juillet 2014. Si vous continuez à utiliser les services après le 31 juillet 2014, cela signifie que vous avez accepté ces nouvelles conditions. Dans le cas contraire, vous pouvez annuler votre service à tout moment.

Cyber-attaque, Logiciels, Microsoft, Sécurité

0Day pour Microsoft Word

Microsoft vient de lancer une alerte au sujet de pirates informatiques exploitant un 0day, une faille non publique, permettant d’exploiter une vulnérabilité dans Microsoft Word. La vulnérabilité permet d’exécuter du code arbitraire dans le système vulnérable. « Cette vulnérabilité pourrait permettre l’exécution de code à distance si un utilisateur ouvre un fichier RTF spécialement conçu à l’aide d’une version affectée de Microsoft Word » informe le géant américain.

Le problème affecte, selon le Microsoft Security Advisory 2953095, Microsoft Word 2003, 2007, 2010, 2013, Word Viewer et Microsoft Office 2011 pour Mac. Les exploits repérés ont attaqués des utilisateurs de Microsoft Word 2010.

Microsoft est en train de créer un correctif pour cette faille de sécurité. En attendant, un « patch » temporaire Fix it empêche l’ouverture de fichiers RTF dans Microsoft Word. Autre suggestion pour vous empêcher d’être victime de cette possibilité malveillante, configurer votre messagerie de manière à lire les messages au format texte brut.

Pour rappel, Microsoft va cesser le support pour Windows XP et Office 2003 le 8 avril 2014. Après cette date, les produits Office 2003 ne recevront plus : De prise en charge assistée. De mises à jour de contenu en ligne. De mises à jour logicielles depuis Microsoft Update. Les mises à jour incluent des mises à jour qui permettent de protéger l’ordinateur contre les virus dangereux, les logiciels espions et autres logiciels malveillants qui peuvent subtiliser vos informations personnelles.