Vidéo: How to Do Microsoft Windows Patches : MIcrosoft Windows Tips & Tricks (Novembre 2024)
Microsoft donne aux administrateurs une pause avec une version relativement légère de Patch Tuesday en septembre. La société a corrigé 42 bogues dans quatre bulletins couvrant Internet Explorer, le.NET Framework, le Planificateur de tâches Windows et Microsoft Lync.
Appliquez la mise à jour Internet Explorer. Cela peut vous protéger contre les attaques du jour zéro.
Chatty IE Bug Fermé
Microsoft n'a noté qu'une seule mise à jour (le correctif cumulatif pour Internet Explorer (MS14-052)) comme "critique". Cela signifie que Microsoft sait que les bogues sont déjà attaqués ou s’attend à ce que les pirates les exploitent dans un délai de 30 jours. Les failles peuvent également entraîner l'exécution de code à distance.
Microsoft a corrigé 37 vulnérabilités dans IE, y compris 26 vulnérabilités de corruption de mémoire révélées de manière privée depuis Internet Explorer 6 jusqu'à la dernière version d'Internet Explorer 11. Microsoft a également corrigé le bogue de divulgation d'informations utilisé dans les attaques «zero day» associées à Operation SnowMan. cyberespionnage en début d’année.
Lors de cette campagne, des attaquants ont éliminé le bogue de divulgation d'informations pour savoir si l'ordinateur infecté exécutait EMET (Enhanced Mitigation Experience Toolkit) et d'autres protections de sécurité de Microsoft. EMET est une boîte à outils gratuite de Microsoft avec diverses techniques de réduction des attaques qui protègent contre les vulnérabilités de corruption de mémoire courantes. Les entreprises peuvent utiliser EMET pour se défendre temporairement contre les attaques du jour zéro. La vulnérabilité (CVE-2013-7331) dans IE "permet aux attaquants distants de déterminer l'existence de chemins d'accès locaux, de noms de chemins d'accès de partage UNC, de noms d'hôtes intranet et d'adresses IP intranet en examinant les codes d'erreur", a déclaré Amol Sarwate, directeur des laboratoires de vulnérabilités chez Qualys.. Si les outils étaient présents, les attaquants ont mis fin à l'attaque.
"Ce correctif est une tentative de Microsoft pour limiter la capacité des kits d'exploitation identifiés comme utilisant une technique de divulgation d'informations pour déterminer si un logiciel de sécurité particulier a été installé", a déclaré Craig Young, chercheur en sécurité chez Tripwire.
Bugs de déni de service, Oh mon
Les bulletins restants pour.NET, le planificateur de tâches Windows et Microsoft Lync traitaient de divers bogues de déni de service et étaient considérés comme «importants» ou ne risquaient pas d'entraîner l'exécution de code à distance. Pour qu'un attaquant puisse exploiter la vulnérabilité d'élévation de privilèges dans Planificateur de tâches (MS14-054), il doit d'abord disposer d'informations d'identification valides et d'un accès local à un système affecté afin d'exécuter son code. Le problème est présent dans Windows 8, Windows 8.1, Windows RT et Windows RT 8.1, ainsi que dans Windows Server 2012 et Windows Server 2012 R2. La mise à jour du framework.NET (MS14-053) affecte la plupart des versions de.NET ainsi que les installations ASP.NET activées sur IIS. Un bogue de déni de service dans Microsoft Lync Server 2010 et Lync Server 2013 pourrait permettre à des attaquants d'envoyer des demandes SIP malveillantes au serveur Lync.
"Si vous exécutez ASP.NET ou envoyez des demandes de réunion Lync à des tiers, ces mises à jour sont particulièrement importantes pour votre organisation", a déclaré Tyler Reguly, responsable de la recherche sur la sécurité chez Tripwire. "Dans certains cas, ils peuvent même être considérés comme critiques; le déni de service ne doit pas être pris à la légère."
Plus de patchs sur le chemin
Ce n'est pas parce que le cycle de mise à jour de ce mois est un peu léger que le temps est venu d'être complaisant. Adobe a mis à jour Flash Player aujourd'hui dans le cadre de son cycle de mises à jour régulier, mais des correctifs différés ont été apportés pour remédier aux vulnérabilités critiques d'Adobe Reader et Acrobat pour Windows et OSX. Ces correctifs seront disponibles la semaine prochaine, a annoncé la compagnie. Les correctifs ont été retardés en raison de problèmes détectés lors des tests. Adobe n'a pas précisé les défauts réels, à part de les appeler priorité absolue. Alors restez vigilant!
