Bulletins mensuels de Microsoft : 24 failles corrigées dans Internet Explorer

Promotion sur les correctifs de sécurité

Le 09 juillet 2014 à 16h25

2 min

Logiciel

Microsoft a publié hier soir pas moins de 29 correctifs de sécurité pour l’ensemble de ses produits supportés. La grande majorité concerne Windows et Office, et on compte notamment un bulletin critique comportant 24 failles d’Internet Explorer (toutes versions confondues).

Comme chaque deuxième mardi de chaque mois, Microsoft a publié ses bulletins de sécurité destinés surtout à Windows et Office. Le bulletin le plus conséquent est de niveau critique et corrige un lot impressionnant de 24 failles de sécurité, dont une a été révélée publiquement et est donc connue potentiellement des pirates. Pour au moins une de ces failles (vraisemblablement plusieurs), il suffirait de visiter une page web spécialement conçue pour qu’un malware puisse s’installer et exécuter un code arbitraire.

L’autre bulletin critique concerne le Journal des évènements intégré à Windows. De manière assez similaire à toutes les autres failles critiques, celle-ci pourrait être exploitée via l’ouverture d’un fichier Journal conçu spécifiquement. Là encore, le pirate aurait la possibilité de faire exécuter un code arbitraire.

Les trois bulletins suivants sont de niveau important et font référence à des failles qui pourraient permettre des élévations de privilèges. Les composants touchés sont le clavier visuel, le pilote de gestion des sockets et DirectShow. Pour ce dernier néanmoins, les utilisateurs de Windows 8 et 8.1 qui se servent essentiellement de la partie Modern UI seront moins touchés grâce au mode protégé amélioré, notamment lors de la navigation avec Internet Explorer 11.

La dernière vulnérabilité concerne le Microsoft Service Bus dans Windows Server. Elle peut être exploitée en envoyant une séquence de messages AMQP (Advanced Message Queuing Protocol), ce qui pourrait provoquer un déni de service.

Comme d’habitude, les mises à jour sont disponibles dans Windows Update et les utilisateurs ont tout intérêt à les installer sans tarder.

Commentaires (21)

DDReaper

Le 09/07/2014 à 17h17

Il y a également des nouveaux firmware pour les surfaces " />

frodon18 Abonné

Le 09/07/2014 à 17h59

DDReaper a écrit :

Il y a également des nouveaux firmware pour les surfaces " />

Je comprends pas pourquoi moi je les recevoir toujours avec au moins un mois de retard sur ma pro 2…

On peut les téléchargés ailleurs que par WU?

Ler van keeg

Le 09/07/2014 à 20h44

frodon18 a écrit :

Je comprends pas pourquoi moi je les recevoir toujours avec au moins un mois de retard sur ma pro 2…

On peut les téléchargés ailleurs que par WU?

Je te conseille principalement ceci :http://bit.ly/1syxjqV c’est très instructif

anonyme_97254becd5c5b064755d6772703ed968

Le 09/07/2014 à 20h58

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

Ler van keeg

Le 09/07/2014 à 21h15

ledufakademy a écrit :

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

Sans dec il y a combien de logiciels/OS “grand public” utilisés par autant de monde dans autant de conditions différentes ?

Konrad

Le 09/07/2014 à 21h33

ledufakademy a écrit :

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

Tous les codes ont des bugs et failles. L’important, c’est qu’elles soient corrigées rapidement lorsqu’elles sont connues -surtout si elles sont connues publiquement, et encore plus lorsqu’elles sont déjà exploitées.

linkin623 Abonné

Le 09/07/2014 à 21h45

Ler van keeg a écrit :

Je te conseille principalement ceci :http://bit.ly/1syxjqV c’est très instructif

" />

Kamalen

Le 09/07/2014 à 22h13

Konrad a écrit :

Tous les codes ont des bugs et failles. L’important, c’est qu’elles soient corrigées rapidement lorsqu’elles sont connues -surtout si elles sont connues publiquement, et encore plus lorsqu’elles sont déjà exploitées.

Et une fois par mois, c’est certainement pas assez. " />

frodon18 Abonné

Le 09/07/2014 à 22h30

Ler van keeg a écrit :

Je te conseille principalement ceci :http://bit.ly/1syxjqV c’est très instructif

Merci heureusement que tu es là…

J’en déduis qu’on ne peut plus demander de l’aide …

Bientôt nous n’aurons plus aucune interaction humaine.

Nous seront seul avec notre Google chéri…

psn00ps

Le 10/07/2014 à 02h55

Ler van keeg a écrit :

Sans dec il y a combien de logiciels/OS “grand public” utilisés par autant de monde dans autant de conditions différentes ?

Une faille ne dépend pas de la condition d’utilisation. Elle est là ou elle ne l’est pas.

Edtech Abonné

Le 10/07/2014 à 06h02

ledufakademy a écrit :

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

Comme quoi, des cours d’informatiques dès la primaire, ça serait utile pour que les gens comprennent ce genre de choses.

Imagine simplement un programme comme une dictée Pivot de 200000 lignes avec que des règles de grammaire ultra-complexes qui dépendent de phrases très éloignées de celle où la règle s’applique. C’est ça un logiciel !

Donc ne faire aucune erreur, penser aux milliers de conditions possibles, d’utilisations diverses, de cas particuliers (il existe des milliers de types de machines, des dizaines de milliers de caractères différents, des centaines langues, etc.), il est techniquement impossible de voir tout !

Donc des failles, il y en aura toujours, même en mettant 5000 développeurs à plein temps à les chercher pendant 100 ans ! La perfection n’existe pas en ce bas monde !

DarKCallistO

Le 10/07/2014 à 06h02

ledufakademy a écrit :

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

Un logiciel ? Un système d’exploitation est bien plus qu’un logiciel,le code est tellement important que lire le plan d’un Airbus A320 c’est des vacances a côté.

Alors oui,on va me dire que Openbsd est un OS dépourvu de faille,mais avec le minimum syndical,pas d’interface,pas de packages logiciels équivalent a un Windows,surtout parce que l’audit de sécurité prendrait une éternité,rien que ça.

[quote:Idiot Proof]Couic Sword [/quote]

Ça m’étonnerais,ou alors Microsoft était déjà assez riche pour envoyer des disquettes de patch par la poste chez tout leurs clients. " />

jb18v

Le 10/07/2014 à 07h44

à propos d’Office 2013, j’ai toujours des màj OneNote et OneDrive alors que je ne les ai pas installés " />

Ler van keeg

Le 10/07/2014 à 07h50

psn00ps a écrit :

Une faille ne dépend pas de la condition d’utilisation. Elle est là ou elle ne l’est pas.

Pas forcément.

Il est plus facile d’avoir une faille dans un système d’exploitation ultra-polyvalent que dans un OS embarqué dédié à 3 tâches.

Konrad

Le 10/07/2014 à 08h40

psn00ps a écrit :

Une faille ne dépend pas de la condition d’utilisation. Elle est là ou elle ne l’est pas.

Ça, c’est sûr, une faille est là ou elle ne l’est pas.

En revanche la notion de vulnérabilité dépend de l’utilisation. Si une faille est présente pendant 10 ans mais que personne ne la connaît, qu’elle n’est pas exploitée, personne n’est vulnérable. Autre exemple : si tu utilises un logiciel marginal et qu’il a une faille, si aucun pirate ne s’attaque à cette faille (pas assez d’utilisateurs à cibler) alors tu n’es pas vulnérable…

Après le problème, c’est qu’il est très difficile de prouver qu’une faille n’a pas été exploitée. Ça a été exactement le cas avec la faille Heart Bleed dans OpenSSL : au moment de sa découverte elle a été patchée très vite (dans les 48h), mais comme il est impossible de savoir si des pirates ont pu en avoir connaissance avant ou pas, il a été recommandé à tout le monde de re-générer toutes les clés SSL par mesure de précaution.

jinge

Le 10/07/2014 à 08h41

ledufakademy a écrit :

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

T’as déjà regardé les logs mises à jour de chrome, safari, firefox ou autre? Je pense que tu aurais peur d’aller sur internet si c’était le cas.

Comme dit plus haut, à partir d’un certain niveau de complexité, il est quasi obligatoire que le logiciel ait des bugs, surtout quand il y a un nombre important de développeurs différents.

sheeloo

Le 10/07/2014 à 22h49

Ler van keeg a écrit :

Sans dec il y a combien de logiciels/OS “grand public” utilisés par autant de monde dans autant de conditions différentes ?

Il s’agit d’IE, bien moins utilisé que Chrome & Firefox maintenant non ? Pourtant ils ne souffrent pas d’autant de problèmes ? (Ou alors ça passe bien à la trappe)…

Ler van keeg

Le 11/07/2014 à 07h47

sheeloo a écrit :

Il s’agit d’IE, bien moins utilisé que Chrome & Firefox maintenant non ? Pourtant ils ne souffrent pas d’autant de problèmes ? (Ou alors ça passe bien à la trappe)…

Chrome & Firefox font régulièrement des updates donc ils corrigent des soucis au passage, c’est juste que ce n’est pas via Windows Update avec tous les sites d’informatique qui scrutent au microscope les failles corrigées pour vanner Crosoft dans les commentaires

IE fait tout de même partie de l’écosystème Windows donc il est susceptible d’impacter plus méchamment le système en cas de pépin.

De plus l’équipe de Microsoft a bien plus de monde payé à chasser les bugs et autres failles que Mozilla ou l’équipe Chromium.

Ce n’est pas exactement la même chose.

Enfin, en utilisant des outils comme EMET on peut s’épargner déjà bien des tracas.

Tolor

Le 12/07/2014 à 09h39

sheeloo a écrit :

Il s’agit d’IE, bien moins utilisé que Chrome & Firefox maintenant non ? Pourtant ils ne souffrent pas d’autant de problèmes ? (Ou alors ça passe bien à la trappe)…

Selon les stats, c’est soit le plus utilisé de loin, soit tout juste le second.

teddyalbina

Le 13/07/2014 à 19h10

ledufakademy a écrit :

sans dec: ils en ont combien en stock des failles dans leurs codes ???" />

j’ai jamais vu autant de failles dans un logiciel … " />

Rien que le noyau Windows c’est pas loin de 50 millions de lignes de code. Vista faisait 6 milliards de ligne. Avec les réécritures qu’ils font depuis plusieurs année on a beaucoup moins de problème. En l’occurrence pour ce bulletin il s’agit vraisemblablement d’une faille croisée.

Le principale problème des OS est la mémoire partagée :s

charon.G

Le 14/07/2014 à 15h47

teddyalbina a écrit :

Rien que le noyau Windows c’est pas loin de 50 millions de lignes de code. Vista faisait 6 milliards de ligne. Avec les réécritures qu’ils font depuis plusieurs année on a beaucoup moins de problème. En l’occurrence pour ce bulletin il s’agit vraisemblablement d’une faille croisée.

Le principale problème des OS est la mémoire partagée :s

C’est faux 50 millions de lignes de code c’était vista tout entier. Le noyau fait environ 1 Mo il fait pas 50 millions de lignes de code c’est exagéré.

Après oui dans 50 millions de lignes de code il y a énormément de failles potentielles.

Catégories

Nous Suivre

À propos

Bulletins mensuels de Microsoft : 24 failles corrigées dans Internet Explorer

Promotion sur les correctifs de sécurité

Commentaires (21)