Bulletins de sécurité Microsoft pour le mois de mars

Numéro : AV10-008
Date : 9 mars 2010

Objet

Cet avis a pour objet d'attirer votre attention sur les deux bulletins de sécurité, cotés Important, pour mars qui corrigent 8 vulnérabilités.

Évaluation

Microsoft a publié les bulletins de sécurité suivants :

MS10-016 - Une Vulnérabilité dans Windows Movie Maker pourrait permettre l'exécution de code à distance (975561)

Détails : Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement qui touche Windows Movie Maker et Microsoft Producer 2003. Windows Live Movie Maker, qui est disponible dans Windows Vista et Windows 7, n'est pas affecté par cette vulnérabilité. La vulnérabilité pourrait permettre l'exécution de code à distance si un attaquant envoyait un fichier de projet Movie Maker ou Microsoft Producer spécialement conçu et qu'il parvenait à convaincre l'utilisateur d'ouvrir le fichier en question. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système seraient moins touchés que ceux qui possèdent des privilèges d'administrateur.

Incidence de la vulnérabilité : Exécution de code à distance Indice de gravité maximal : Important Indice d'exploitabilité : 2 - Possibilité de code d'exploitation fonctionnel Produits touchés : Movie Maker 2.1 sur Windows XP Service Pack 2 & 3, Windows XP Professional X64 Service Pack 2. Movie Maker 2.6 sur Windows Vista, Windows Vista Service Pack 1, et Windows Vista Service Pack 2, Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, et Windows Vista x64 Edition Service Pack 2, Windows 7 pour systèmes
32 bits & x64 bits. Movie Maker 6.0 sur Windows Vista, Windows Vista Service Pack 1, et Windows Vista Service Pack 2. Movie Maker 6.0 sur Windows Vista, Windows Vista Service Pack 1, et Windows Vista Service Pack 2, Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, et Windows Vista x64 Edition Service Pack 2. Et Microsoft Producer 2003.
Référence CVE : CVE-2010-0265
http://www.microsoft.com/technet/security/bulletin/ms10-016.mspx

MS10-017 - Une vulnérabilités dans Microsoft Office Excel pourrait permettre l'exécution de
code à distance (980150)

Détails : Cette mise à jour de sécurité corrige 7 vulnérabilités signalées confidentiellement qui touchent Microsoft Office Excel. Les vulnérabilités pourraient permettre
l'exécution de code à distance si un utilisateur ouvre un fichier Excel spécialement conçu.
Un attaquant qui exploite avec succès cette vulnérabilité pourrait obtenir les mêmes droits d'accès que l'utilisateur local. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système seraient moins touchés que ceux qui possèdent des privilèges d'administrateur.

Incidence de la vulnérabilité : Exécution de code à distance
Indice de gravité maximal : Important
Indice d'exploitabilité : Possibilité de code d'exploitation fonctionnel
Produits touchés : Microsoft Office XP Service Pack 3, Microsoft Office 2003 Service Pack 3, 2007 Microsoft Office System Service Pack 1, 2007 Microsoft Office System Service Pack 2, Microsoft Office 2004 pour Macintosh, Microsoft Office 2008 pour Macintosh, Open XML File Format Converter pour Macintosh, Microsoft Office Excel Viewer Service Pack 1 et Microsoft Office Excel Viewer Service Pack 2, Microsoft Office Compatibility Pack pour Word, Excel, et PowerPoint 2007, File Formats Service Pack 1 et Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint 2007, File Formats Service Pack 2, Microsoft Office SharePoint Server 2007 Service Pack 1 & 2 (versions 32 bits & 64 bits).
Référence CVE : CVE-2010-0257, CVE-2010-0258, CVE-2010-0260, CVE-2010-0261, CVE-2010-0262, CVE-2010-0263, CVE-2010-0264
http://www.microsoft.com/technet/security/Bulletin/MS10-017.mspx

Mesure suggérée

Le CCIRC recommande aux administrateurs de tester et de déployer ces mises à jour à la première occasion. Microsoft a publié une matrice de risque pour aider les organisations à évaluer le déploiement de ces mises à jour de sécurité et à les classer par ordre de priorité. Cette matrice est accessible à l’adresse URL suivante :
http://blogs.technet.com/msrc/archive/2010/03/09/march-2010-security-bulletin-release.aspx

Références :
http://www.microsoft.com/technet/security/bulletin/MS10-mar.mspx

Note aux lecteurs

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.

Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:

Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca