S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

 République Française Paris, le 13 août 2010
No CERTA-2010-ACT-032

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2010-32

Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-032

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-032.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-032/

1 Mise à jour de sécurité mensuelle de Microsoft

Microsoft a publié 14 bulletins de sécurité pour le mois d'août 2010. Ces mises à jour de sécurité couvrent toutes les versions de Windows et corrigent des vulnérabilités dont les plus critiques permettant d'exécuter du code arbitraire à distance sans action de l'utilisateur ou encore d'élever ses privilèges.

Parmi les vulnérabilités corrigées, on peut citer les avis CERTA-2010-AVI-363 et CERTA-2010-AVI-364 qui portent sur des vulnérabilités dans le noyau ou des pilotes en mode noyau qui peuvent être exploitées afin de réaliser une élevation de privilèges.

Les avis CERTA-2010-AVI-367 et CERTA-2010-AVI-369 couvrent des vulnérabilités présentes dans Internet Explorer ou exploitable via le navigateur. Ainsi, une personne malveillante peut exécuter du code arbitraire à distance, notamment au moyen d'un fichier au format HTML spécialement construit.

L'avis CERTA-2010-AVI-370 sera le dernier cité dans cet article. Il porte sur une vulnérabilité dans le serveur SMB de Windows qui permet à un utilisateur distant non-authentifié d'exécuter du code arbitraire. Cette vulnérabilité rappelle celle décrite dans le bulletin de sécurité Microsoft MS08-067 du 11 novembre 2008 largement exploitée par le code malveillant Conficker.

L'application de ces correctifs est donc impérative pour élever le niveau de sécurité des systèmes d'information fonctionnant sous Windows.

2 «Patch tuesday», Adobe également

Si le mardi 11 août 2010 était attendu pour les correctifs Microsoft, il était également l'occasion pour l'éditeur Adobe de publier des correctifs de sécurité, repris dans trois avis du CERTA (voir documentation).

Le CERTA attire l'attention sur deux points :

2.1 Documentation

3 Mise à jour de sécurité importante pour l'Apple iOS

Dans le bulletin d'actualité de la semaine dernière, nous avions mentionné des deux failles de sécurité activement utilisées pour réaliser le Jailbreak de l'Apple iOS à distance, l'une permettant de s'introduire dans le système par le biais d'un document au format PDF spécialement construit et l'autre permettant d'élever ses privilèges. Comme nous l'avions écrit, ces vulnérabilités sont critiques et pourraient être exploitées par des codes malveillants (voir l'alerte CERTA-2010-ALE-011).

Apple a corrigé cette semaine ces deux vulnérabilités, l'avis du CERTA correspondant est référencé CERTA-2010-AVI-380. Le CERTA recommande vivement de mettre à jour les appareils fonctionant sous iOS. Cette mise à jour est manuelle, et peut être faite par le biais d'un ordinateur équipé du logiciel iTunes.


4 Rappel des avis émis

Dans la période du 06 août 2010 au 12 août 2010, le CERTA a émis les avis suivants :

Durant la même période, les avis suivants ont été mis à jour :

Gestion détaillée du document

13 août 2010
version initiale.


CERTA
2012-01-04