Forum-seven : Communauté francaise de Windows 7

Patch Tuesday : dernière salve avant les mises à jour cumulatives

Le Patch Tuesday de septembre renferme 14 bulletins de sécurité. Dès le mois prochain, pour ses principaux OS, Microsoft passera au régime des mises à jour cumulatives. Un choix qui ne fait pas l’unanimité.

La livraison mensuelle de correctifs de sécurité de Microsoft (le fameux Patch Tuesday) comble pas moins de 47 failles présentes dans les logiciels du premier éditeur mondial. Redmond publie au total 14 bulletins de sécurité – les bulletins couvrant la plupart du temps plusieurs failles -, dont 7 sont classés critiques, le niveau le plus élevé qui se traduit normalement par une mise à niveau impérative des logiciels concernés. 10 de ces bulletins peuvent conduire à l’exécution de code à distance, autrement dit à une prise de contrôle du système par un assaillant. De nombreux logiciels Microsoft sont concernés : les navigateurs Internet Explorer et Edge, Windows (dans ses multiples versions), Office, Exchange, Silverlight, l’outil de script VBScript, mais aussi le lecteur Flash sur Windows (Adobe a publié en parallèle des correctifs pour les vulnérabilités en question).

La faille de Detours : 10 ans déjà

Parmi cette moisson de failles, on retrouve notamment une vulnérabilité vieille de 10 ans et touchant un outil de personnalisation de la suite bureautique Office. Dévoilée au cours de l’été et discutée lors de la conférence Black Hat, qui s’est tenue en août, la faille permet de contourner les sécurités de Windows ou d’autres applications de sécurité. Mise au jour voici environ 9 mois par la société enSilo, elle touche un outil de Microsoft baptisé Detours – et offrant des fonctions de personnalisation via l’accrochage de morceaux de programmes (on parle de hooking) – embarqué dans Office donc,  mais aussi dans bien d’autres applications.