Bulletin de sécurité de Microsoft pour le mois de janvier
Numéro : AV10-003
Date : 12 janvier 2009
Objet
Cet avis a pour objet d'attirer votre attention sur la vulnérabilité (critique) ci-dessous décelée dans certains produits Microsoft.
Évaluation
Microsoft a publié le bulletin de sécurité suivant
MS10-001 - Critique - Le moteur de polices Embedded OpenType pourrait permettre l'exécution de code à distance (972270)
Détails : Cette mise à jour de sécurité résout une vulnérabilité de Microsoft Windows signalée par un particulier. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur fait afficher du contenu rendu dans une police Embedded OpenType (EOT)de constitution particulière dans des applications clientes qui peuvent rendre des polices EOT, comme Microsoft Internet Explorer, Microsoft Office PowerPoint ou Microsoft Office Word. Un attaquant qui exploiterait cette vulnérabilité avec succès pourrait prendre le contrôle complet d'un système touché. L'attaquant pourrait installer des programmes, afficher, modifier ou supprimer des données ou encore créer de nouveaux comptes ayant des droits d'utilisateur complets. Les utilisateurs dont les comptes sont configurés de manière à avoir moins de droits pourraient être moins touchés que les utilisateurs qui disposent de droits d'administrateurs.
Répercussions de la vulnérabilité : Exécution de code à distance
Indice de gravité maximal : Critique
Indice d'exploitabilité maximal : Probabilité de code d'exploit non uniforme
Produits touchés : Windows
Référence CVE : CVE-2010-0018
Mesure suggérée
Le CCRIC recommande aux administrateurs de tester et de déployer les mises à jour à la première occasion. Microsoft a publié une matrice de risque pour aider les organisations à évaluer le déploiement de ces mises à jour de sécurité et à les classer par ordre de priorité. Cette matrice est accessible à l'adresse suivante :
http://blogs.technet.com/msrc/archive/2010/01/12/january-2010-security-bulletin-release.aspx
Références:
http://www.microsoft.com/technet/security/bulletin/MS10-jan.mspx
Note aux lecteurs
Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.
Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:
Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca