Bulletins mensuels de Microsoft : 24 failles corrigées dans Internet Explorer

Bulletins mensuels de Microsoft : 24 failles corrigées dans Internet Explorer

Promotion sur les correctifs de sécurité

Avatar de l'auteur
Vincent Hermann

Publié dans

Logiciel

09/07/2014 2 minutes
28

Bulletins mensuels de Microsoft : 24 failles corrigées dans Internet Explorer

Microsoft a publié hier soir pas moins de 29 correctifs de sécurité pour l’ensemble de ses produits supportés. La grande majorité concerne Windows et Office, et on compte notamment un bulletin critique comportant 24 failles d’Internet Explorer (toutes versions confondues).

bulletins juillet 2014

 

Comme chaque deuxième mardi de chaque mois, Microsoft a publié ses bulletins de sécurité destinés surtout à Windows et Office. Le bulletin le plus conséquent est de niveau critique et corrige un lot impressionnant de 24 failles de sécurité, dont une a été révélée publiquement et est donc connue potentiellement des pirates. Pour au moins une de ces failles (vraisemblablement plusieurs), il suffirait de visiter une page web spécialement conçue pour qu’un malware puisse s’installer et exécuter un code arbitraire.

 

L’autre bulletin critique concerne le Journal des évènements intégré à Windows. De manière assez similaire à toutes les autres failles critiques, celle-ci pourrait être exploitée via l’ouverture d’un fichier Journal conçu spécifiquement. Là encore, le pirate aurait la possibilité de faire exécuter un code arbitraire.

 

Les trois bulletins suivants sont de niveau important et font référence à des failles qui pourraient permettre des élévations de privilèges. Les composants touchés sont le clavier visuel, le pilote de gestion des sockets et DirectShow. Pour ce dernier néanmoins, les utilisateurs de Windows 8 et 8.1 qui se servent essentiellement de la partie Modern UI seront moins touchés grâce au mode protégé amélioré, notamment lors de la navigation avec Internet Explorer 11.

 

La dernière vulnérabilité concerne le Microsoft Service Bus dans Windows Server. Elle peut être exploitée en envoyant une séquence de messages AMQP (Advanced Message Queuing Protocol), ce qui pourrait provoquer un déni de service.

 

Comme d’habitude, les mises à jour sont disponibles dans Windows Update et les utilisateurs ont tout intérêt à les installer sans tarder. 

Écrit par Vincent Hermann

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

next n'a pas de brief le week-end

Le Brief ne travaille pas le week-end.
C'est dur, mais c'est comme ça.
Allez donc dans une forêt lointaine,
Éloignez-vous de ce clavier pour une fois !

Fermer

Commentaires (28)


DDReaper
Le 09/07/2014 à 17h 17

Il y a également des nouveaux firmware pour les surfaces <img data-src=" />


frodon18 Abonné
Le 09/07/2014 à 17h 59







DDReaper a écrit :



Il y a également des nouveaux firmware pour les surfaces <img data-src=" />







Je comprends pas pourquoi moi je les recevoir toujours avec au moins un mois de retard sur ma pro 2…



On peut les téléchargés ailleurs que par WU?



Ler van keeg
Le 09/07/2014 à 20h 44







frodon18 a écrit :



Je comprends pas pourquoi moi je les recevoir toujours avec au moins un mois de retard sur ma pro 2…



On peut les téléchargés ailleurs que par WU?





Je te conseille principalement ceci :http://bit.ly/1syxjqV c’est très instructif



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />


Ler van keeg
Le 09/07/2014 à 21h 15







ledufakademy a écrit :



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />





Sans dec il y a combien de logiciels/OS “grand public” utilisés par autant de monde dans autant de conditions différentes ?



Konrad
Le 09/07/2014 à 21h 33







ledufakademy a écrit :



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />





Tous les codes ont des bugs et failles. L’important, c’est qu’elles soient corrigées rapidement lorsqu’elles sont connues -surtout si elles sont connues publiquement, et encore plus lorsqu’elles sont déjà exploitées.



linkin623 Abonné
Le 09/07/2014 à 21h 45







Ler van keeg a écrit :



Je te conseille principalement ceci :http://bit.ly/1syxjqV c’est très instructif





<img data-src=" />



Kamalen
Le 09/07/2014 à 22h 13







Konrad a écrit :



Tous les codes ont des bugs et failles. L’important, c’est qu’elles soient corrigées rapidement lorsqu’elles sont connues -surtout si elles sont connues publiquement, et encore plus lorsqu’elles sont déjà exploitées.







Et une fois par mois, c’est certainement pas assez. <img data-src=" />



frodon18 Abonné
Le 09/07/2014 à 22h 30







Ler van keeg a écrit :



Je te conseille principalement ceci :http://bit.ly/1syxjqV c’est très instructif









Merci heureusement que tu es là…

J’en déduis qu’on ne peut plus demander de l’aide …

Bientôt nous n’aurons plus aucune interaction humaine.

Nous seront seul avec notre Google chéri…



psn00ps
Le 10/07/2014 à 02h 55







Ler van keeg a écrit :



Sans dec il y a combien de logiciels/OS “grand public” utilisés par autant de monde dans autant de conditions différentes ?





Une faille ne dépend pas de la condition d’utilisation. Elle est là ou elle ne l’est pas.



Edtech Abonné
Le 10/07/2014 à 06h 02







ledufakademy a écrit :



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />







Comme quoi, des cours d’informatiques dès la primaire, ça serait utile pour que les gens comprennent ce genre de choses.



Imagine simplement un programme comme une dictée Pivot de 200000 lignes avec que des règles de grammaire ultra-complexes qui dépendent de phrases très éloignées de celle où la règle s’applique. C’est ça un logiciel !



Donc ne faire aucune erreur, penser aux milliers de conditions possibles, d’utilisations diverses, de cas particuliers (il existe des milliers de types de machines, des dizaines de milliers de caractères différents, des centaines langues, etc.), il est techniquement impossible de voir tout !



Donc des failles, il y en aura toujours, même en mettant 5000 développeurs à plein temps à les chercher pendant 100 ans ! La perfection n’existe pas en ce bas monde !



DarKCallistO
Le 10/07/2014 à 06h 02







ledufakademy a écrit :



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />







Un logiciel ? Un système d’exploitation est bien plus qu’un logiciel,le code est tellement important que lire le plan d’un Airbus A320 c’est des vacances a côté.



Alors oui,on va me dire que Openbsd est un OS dépourvu de faille,mais avec le minimum syndical,pas d’interface,pas de packages logiciels équivalent a un Windows,surtout parce que l’audit de sécurité prendrait une éternité,rien que ça.



[quote:Idiot Proof]Couic Sword [/quote]



Ça m’étonnerais,ou alors Microsoft était déjà assez riche pour envoyer des disquettes de patch par la poste chez tout leurs clients. <img data-src=" />



jb18v
Le 10/07/2014 à 07h 44

à propos d’Office 2013, j’ai toujours des màj OneNote et OneDrive alors que je ne les ai pas installés <img data-src=" />


Ler van keeg
Le 10/07/2014 à 07h 50







psn00ps a écrit :



Une faille ne dépend pas de la condition d’utilisation. Elle est là ou elle ne l’est pas.





Pas forcément.

Il est plus facile d’avoir une faille dans un système d’exploitation ultra-polyvalent que dans un OS embarqué dédié à 3 tâches.



Konrad
Le 10/07/2014 à 08h 40







psn00ps a écrit :



Une faille ne dépend pas de la condition d’utilisation. Elle est là ou elle ne l’est pas.





Ça, c’est sûr, une faille est là ou elle ne l’est pas.



En revanche la notion de vulnérabilité dépend de l’utilisation. Si une faille est présente pendant 10 ans mais que personne ne la connaît, qu’elle n’est pas exploitée, personne n’est vulnérable. Autre exemple : si tu utilises un logiciel marginal et qu’il a une faille, si aucun pirate ne s’attaque à cette faille (pas assez d’utilisateurs à cibler) alors tu n’es pas vulnérable…



Après le problème, c’est qu’il est très difficile de prouver qu’une faille n’a pas été exploitée. Ça a été exactement le cas avec la faille Heart Bleed dans OpenSSL : au moment de sa découverte elle a été patchée très vite (dans les 48h), mais comme il est impossible de savoir si des pirates ont pu en avoir connaissance avant ou pas, il a été recommandé à tout le monde de re-générer toutes les clés SSL par mesure de précaution.



jinge
Le 10/07/2014 à 08h 41







ledufakademy a écrit :



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />





T’as déjà regardé les logs mises à jour de chrome, safari, firefox ou autre? Je pense que tu aurais peur d’aller sur internet si c’était le cas.

Comme dit plus haut, à partir d’un certain niveau de complexité, il est quasi obligatoire que le logiciel ait des bugs, surtout quand il y a un nombre important de développeurs différents.



sheeloo
Le 10/07/2014 à 22h 49







Ler van keeg a écrit :



Sans dec il y a combien de logiciels/OS “grand public” utilisés par autant de monde dans autant de conditions différentes ?







Il s’agit d’IE, bien moins utilisé que Chrome & Firefox maintenant non ? Pourtant ils ne souffrent pas d’autant de problèmes ? (Ou alors ça passe bien à la trappe)…



Ler van keeg
Le 11/07/2014 à 07h 47







sheeloo a écrit :



Il s’agit d’IE, bien moins utilisé que Chrome & Firefox maintenant non ? Pourtant ils ne souffrent pas d’autant de problèmes ? (Ou alors ça passe bien à la trappe)…







  1. Chrome & Firefox font régulièrement des updates donc ils corrigent des soucis au passage, c’est juste que ce n’est pas via Windows Update avec tous les sites d’informatique qui scrutent au microscope les failles corrigées pour vanner Crosoft dans les commentaires



  2. IE fait tout de même partie de l’écosystème Windows donc il est susceptible d’impacter plus méchamment le système en cas de pépin.



    De plus l’équipe de Microsoft a bien plus de monde payé à chasser les bugs et autres failles que Mozilla ou l’équipe Chromium.



    Ce n’est pas exactement la même chose.



    Enfin, en utilisant des outils comme EMET on peut s’épargner déjà bien des tracas.



Tolor
Le 12/07/2014 à 09h 39







sheeloo a écrit :



Il s’agit d’IE, bien moins utilisé que Chrome & Firefox maintenant non ? Pourtant ils ne souffrent pas d’autant de problèmes ? (Ou alors ça passe bien à la trappe)…





Selon les stats, c’est soit le plus utilisé de loin, soit tout juste le second.



teddyalbina Abonné
Le 13/07/2014 à 19h 10







ledufakademy a écrit :



sans dec: ils en ont combien en stock des failles dans leurs codes ???<img data-src=" />

j’ai jamais vu autant de failles dans un logiciel … <img data-src=" />







Rien que le noyau Windows c’est pas loin de 50 millions de lignes de code. Vista faisait 6 milliards de ligne. Avec les réécritures qu’ils font depuis plusieurs année on a beaucoup moins de problème. En l’occurrence pour ce bulletin il s’agit vraisemblablement d’une faille croisée.



Le principale problème des OS est la mémoire partagée :s



charon.G
Le 14/07/2014 à 15h 47







teddyalbina a écrit :



Rien que le noyau Windows c’est pas loin de 50 millions de lignes de code. Vista faisait 6 milliards de ligne. Avec les réécritures qu’ils font depuis plusieurs année on a beaucoup moins de problème. En l’occurrence pour ce bulletin il s’agit vraisemblablement d’une faille croisée.



Le principale problème des OS est la mémoire partagée :s





C’est faux 50 millions de lignes de code c’était vista tout entier. Le noyau fait environ 1 Mo il fait pas 50 millions de lignes de code c’est exagéré.

Après oui dans 50 millions de lignes de code il y a énormément de failles potentielles.