Archives par mot-clé : Patch Tuesday

Cybersécurité, Logiciels, Microsoft, Mise à jour, OS X, Patch

Patch Tuesday – Novembre 2015

Retour à la normale pour le Patch Tuesday de Novembre 2015. Douze bulletins concernent un large éventail de produits, depuis Internet Explorer (MS15-112) jusqu’à Skype (MS15-123). Les six petits bulletins du mois dernier étaient une anomalie probablement due aux vacances d’été. La différence marquée entre les patches pour Internet Explorer et pour Edge, en revanche, n’est pas une anomalie mais le fruit d’une ingénierie sérieuse de la sécurité.

Manifestement plus sécurisé qu’Internet Explorer, Edge s’avère être un puissant choix de navigateur Internet si vos utilisateurs peuvent s’en servir pour exécuter toutes leurs applications métier.

Pour le classement des patchs, le cru de ce mois comprend un correctif pour une vulnérabilité connue fournie dans le bulletin critique MS15-115 qui résout sept vulnérabilités dans Windows. Deux des vulnérabilités se trouvent dans le sous-ensemble de polices, ce qui les rend exploitables à distance via la navigation Web et la messagerie. Elles affectent toutes les versions de Windows, y compris Windows 10 et RT. Ce mois-ci, le bulletin MS15-115 figure en haut de la liste.

Vient ensuite MS15-112 pour Internet Explorer, avec 25 correctifs dont 23 pour des vulnérabilités critiques à base d’exécution de code à distance (RCE). Le vecteur d’attaque est une page Web, très courante, malveillante. Les cybercriminels lancent les attaques en exploitant des vulnérabilités au sein de pages Web par ailleurs anodines et en prenant le contrôle du contenu des pages dans lesquelles ils insèrent des liens invisibles qui pointent vers leurs pages d’attaque basées sur des kits d’exploits commerciaux. Ces kits concernent essentiellement des vulnérabilités récentes au sein de navigateurs et de plug-ins (Flash étant choisi dans 80% des cas selon une récente enquête de Recorded Future) et s’enrichissent de nouveaux exploits quelques jours seulement après la publication d’une vulnérabilité.

Les attaques via les navigateurs et la messagerie sont si fréquentes que le Centre pour la sécurité Internet (CIS) a revu sa liste des 20 contrôles de sécurité critiques et ajouté un contrôle dédié aux navigateurs/à la messagerie ayant une priorité de niveau 7, ce qui le positionne devant les défenses classiques contre les codes malveillants concernées par le contrôle 8.

Quoi qu’il en soit, le MS15-112 doit être déployé le plus vite possible.

Le suivant sur la liste est le bulletin de sécurité MS15-116 qui résout sept failles sous Microsoft Office. Cinq de ces vulnérabilités peuvent être exploitées pour prendre le contrôle du compte de l’utilisateur qui ouvre le document malveillant et permettre ainsi une exploitation à distance. Cet accès permet de contrôler suffisamment la machine pour lancer un certain nombre d’attaques, notamment de type Ransomware. Cependant, l’attaquant peut l’associer à une vulnérabilité locale dans le noyau Windows pour compromettre totalement la machine et en prendre pleinement le contrôle afin d’y installer de nombreuses backdoors.

Les deux autres bulletins critiques concernent Edge Browser (MS15-113) et le Journal Windows (MS15-114). Ils doivent être appliqués le plus vite possible, ne serait-ce que pour votre machine bénéficie de la toute dernière mise à niveau.

Tous classés comme importants, les autres bulletins doivent être déployés dans votre cycle de patch usuel:

  • MS15-118 concerne .NET et corrige trois vulnérabilités, dont une permettant d’exécuter du code pendant que l’utilisateur visite un site Web (Cross Site Scripting). Ces vulnérabilités sont souvent exploitées pour dérober les informations de la session de l’utilisateur et se substituer à ce dernier. Selon l’application concernée, les conséquences peuvent être lourdes. En effet, l’attaquant peut ainsi accéder à un compte de niveau Administrateur associé à votre application Web.

  • MS15-119 résout une vulnérabilité d’élévation de privilèges dans la bibliothèque de sockets Windows présente dans toutes les versions dont Windows 10.

  • Quant au bulletin MS15-117, il corrige une vulnérabilité au sein du composant réseau NDIS et qui affecte uniquement les systèmes plus anciens (Vista, Windows 7 et Server 2008).

  • MS15-120, MS15-121, MS15-122 et MS15-123 corrigent des failles uniques dans IPSEC, SChannel, Kerberos et Skype pouvant être exploitées par des dénis DoS, des attaques Man In The Middle ainsi que par des contournements de chiffrement.

Dernier point et non des moindres, Adobe a également publié une mise à jour pour Adobe Flash. APSB15-28 résout plusieurs vulnérabilités critiques permettant à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Sachant que Flash est cette année une cible favorite des attaquants, n’oubliez pas de le mettre à jour sur vos machines clientes. (Analyse par Wolfgang Kandek, CTO , Qualys, Inc. (wkandek)

Cybersécurité, Patch

Patch party pour Microsoft

Le Patch Tuesday publié en ce mois de septembre septembre est chargé. Nous recevrons donc 14 nouveaux bulletins, ce qui porte à 80 le nombre de bulletins qui auront déjà été publiés jusqu’à septembre de cette année. Nous allons donc certainement dépasser les 100 bulletins publiés pour 2013 année contre 83 en 2012 et exactement 100 en 2011. Ceci reflète bien l’effervescence du marché de la sécurité informatique.

Parmi les 14 bulletins, les 8 premiers sont intitulés « Exécution de code à distance », le type de faille prisé par les pirates pour pénétrer votre réseau. Les bulletins #1 à #4 sont quant à eux intitulés « critiques » par Microsoft, ce qui signifie que les failles concernées peuvent uniquement être exploitées avec la participation de l’utilisateur. Le bulletin #1 est consacré à Sharepoint Server et devrait être la priorité absolue des administrateurs de serveurs, lesquels se seront auparavant empressés de tester et vérifier que le patch n’aura aucun impact sur une quelconque fonctionnalité critique pour l’activité de votre entreprise. Le bulletin #2 devrait être une priorité de l’équipe chargée de la sécurité du parc informatique. En effet, il concerne une faille dans Microsoft Office qui peut être déclenchée par la simple prévisualisation d’un email dans Outlook, c’est-à-dire sans même ouvrir le courrier électronique. Outlook pour Office 2007 et 2010 est concerné par cette faille.

Le bulletin #3 est une mise à jour critique pour Internet Explorer (IE) et concerne toutes les versions de IE6 à IE10, y compris sous Windows 8 et Windows RT. Le bulletin #4, qui est le dernier bulletin critique, est consacré à une faille sous Windows, mais qui ne concerne que les systèmes d’exploitation appartenant presque au passé, à savoir Windows XP et Windows Server 2003. Par conséquent, vous devriez dès à présent supprimer progressivement ces systèmes d’exploitation qui ne bénéficieront plus du support des patchs de sécurité à compter d’avril 2014, tout comme Office 2003 qui sera aussi privé de ce support dès avril prochain. Ces systèmes d’exploitation ainsi que la suite Office commenceront alors à cumuler les vulnérabilités non résolues et attireront donc des pirates qui pourront disposer d’outils faciles à utiliser et infaillibles pour exploiter des configurations sous XP/2003 ou exécutant Office 2003.

Parmi les bulletins restants, les #6, #7 et #8 sont des priorités car ils traitent de failles Office (Word, Excel et Access) qui peuvent être exploitées pour prendre le contrôle d’une machine ciblée. Toutes les versions Office 2003, 2007, 2010 et 2013 sont concernées et le bulletin #7 s’applique également à Excel sous Mac OS X Office 2011. En résumé, il s’agit donc d’un Patch Tuesday important, surtout pour les vulnérabilités bureautiques, au moins si vous n’exécutez pas Sharepoint Server.