Microsoft : Bulletin de sécurité Juin 2008

Description des failles critiques

Une vulnérabilité dans la pile Bluetooth pourrait permettre l'exécution de code à distance (951376)
Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans la pile Bluetooth dans Windows qui pourrait permettre l'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Mise à jour de sécurité cumulative pour Internet Explorer (950759)
Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement et une vulnérabilité révélée publiquement. La vulnérabilité signalée confidentiellement pourrait permettre l'exécution de code à distance si un utilisateur affichait une page Web spécialement conçue à l'aide d'Internet Explorer. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur. La vulnérabilité révélée publiquement pourrait permettre la divulgation d'informations si un utilisateur affichait une page Web spécialement conçue à l'aide d'Internet Explorer.

Des vulnérabilités dans DirectX pourraient permettre l'exécution de code à distance (951698)
Cette mise à jour de sécurité corrige deux vulnérabilités dans Microsoft DirectX signalées confidentiellement qui pourraient permettre l'exécution de code à distance si un utilisateur ouvrait un fichier multimédia spécialement conçu. Un attaquant qui parviendrait à exploiter l'une de ces vulnérabilités pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Description des failles importantes

Une vulnérabilité dans WINS pourrait permettre une élévation des privilèges (948745)
Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans WINS (Windows Internet Name Service) qui pourrait permettre l'élévation de privilèges. Tout attaquant local qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes.

Une vulnérabilité dans Active Directory pourrait permettre un déni de service (953235)
Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans des implémentations d'Active Directory sur Microsoft Windows 2000 Server, Windows Server 2003 et Windows Server 2008 ; des implémentations d'Active Directory en mode application (ADAM) lorsqu'il est installé sur Windows XP Professionnel et Windows Server 2003 et des implémentations du service AD LDS (Active Directory Lightweight Directory Service) lorsqu'il est installé sur Windows Server 2008. Cette vulnérabilité pourrait être exploitée afin de permettre à un attaquant d'entraîner un déni de service. Sur Windows XP Professionnel, Windows Server 2003 et Windows Server 2008, un attaquant doit disposer d'informations d'identification valides pour exploiter cette vulnérabilité. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système de répondre ou le forcer à redémarrer automatiquement.

Des vulnérabilités dans le protocole de multidiffusion PGM (Pragmatic General Multicast) pourraient permettre un déni de service (950762)
Cette mise à jour de sécurité corrige deux vulnérabilités signalées confidentiellement dans le protocole de multidiffusion PGM (Pragmatic General Multicast) qui pourraient permettre un déni de service si des paquets PGM mal formés étaient reçus par un système concerné. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait empêcher le système d'un utilisateur de répondre jusqu'à ce que celui-ci le redémarre pour restaurer son fonctionnement normal. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d’exécuter un code ou d’élever ses privilèges, mais peut amener le système affecté à ne plus accepter les requêtes.

Description de la faille modérée

Mise à jour de sécurité cumulative pour les kill bits ActiveX (950760)
Cette mise à jour de sécurité corrige une vulnérabilité signalée publiquement dans l'API Microsoft Speech. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur affichait une page Web spécialement conçue à l'aide d'Internet Explorer tout en ayant activé la fonctionnalité de reconnaissance vocale dans Windows. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur. Cette mise à jour inclut également un kill bit pour les logiciels produits par BackWeb.

Deux mises à jour "critiques" sont également rééditées, une datant de décembre 2007, l'autre de décembre 2006 affectant le lecteur Windows Media :

Réédition - Bulletin de sécurité Microsoft MS07-068 - Une vulnérabilité dans le format de fichier Windows Media pourrait permettre l'exécution de code à distance (941569 et 944275)
Cette mise à jour de sécurité de niveau « critique » corrige une vulnérabilité signalée confidentiellement dans le format de fichier Windows Media. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur affichait un fichier spécialement conçu dans le module d'exécution du format Windows Media. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Réédition - Bulletin de sécurité Microsoft MS06-078 : Une vulnérabilité dans Windows Media Format pourrait permettre l’exécution de code à distance (923689)
Cette mise à jour corrige deux vulnérabilités récemment découvertes. Si un utilisateur a ouvert une session avec des privilèges d'administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d’administrateur.

Ces correctifs sont délivrés via les mises à jour automatiques mais vous pouvez également les télécharger à partir de Windows Update. Après l'installation, votre ordinateur devra redémarrer.

Source : Microsoft