Bulletins de sécurité Microsoft pour le mois de juillet

Numéro : AV09-025
Date : 16 juillet 2009

Objet

Cet avis a pour objet d'attirer votre attention sur les vulnérabilités ci-dessous décelées dans certains produits Microsoft.

Évaluation

Microsoft a publié les bulletins de sécurité suivants :

MS09-028 - Critique - Des vulnérabilités dans Microsoft DirectShow pourraient permettre l'exécution de code à distance (971633)

Détails : Cette mise à jour de sécurité corrige une vulnérabilité révélée publiquement et deux vulnérabilités signalées confidentiellement dans Microsoft DirectShow. Ces vulnérabilités pourraient permettre l'exécution de code à distance si un utilisateur ouvrait un fichier multimédia QuickTime spécialement conçu. Tout attaquant parvenant à exploiter l'une de ces vulnérabilités pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Impact de sécurité maximal : Exécution de code à distance
Indice de gravité cumulée : Critique
Indice d'exploitabilité : 1 - Possibilité de code d'exploitation fonctionnel
Produits touchés : DirectX 7.0, DirectX 8.1 et DirectX 9.0
Références CVE : CVE-2009-1537, CVE-2009-1538 et CVE-2009-1539
http://www.microsoft.com/france/technet/security/Bulletin/MS09-028.mspx

 

MS09-029 - Critique - Des vulnérabilités dans le moteur de polices Embedded OpenType pourraient permettre l'exécution de code à distance (961371)

Détails : Cette mise à jour de sécurité corrige deux vulnérabilités signalées confidentiellement dans le composant Moteur de polices Embedded OpenType (EOT) de Microsoft Windows. Ces vulnérabilités pourraient permettre l'exécution de code à distance. Un attaquant qui parviendrait à exploiter l'une de ces vulnérabilités pourrait prendre le contrôle intégral d'un système affecté à distance. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
Impact de sécurité maximal : Exécution de code à distance
Indice de gravité cumulée : Critique
Indice d'exploitabilité : 1 - Possibilité de code d'exploitation fonctionnel
Produits touchés : Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008. Installation Server Core de Windows Server 2008 n'est pas concerné par cette mise à jour.
Références CVE : CVE-2009-0231 et CVE-2009-0232
http://www.microsoft.com/france/technet/security/Bulletin/MS09-029.mspx

 

MS09-030 - Important - Une vulnérabilité dans Microsoft Office Publisher pourrait permettre l'exécution de code à distance (969516)

Détails : Cette mise à jour de sécurité corrige une vulnérabilité dans Microsoft Office Publisher signalée confidentiellement qui pourrait permettre l'exécution de code à distance si un utilisateur ouvrait un fichier Publisher spécialement conçu. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
Impact de sécurité maximal : Exécution de code à distance
Indice de gravité cumulée : Important
Indice d'exploitabilité : 1 - Possibilité de code d'exploitation fonctionnel
Produits touchés : 2007 Microsoft Office System Service Pack 1
Référence CVE : CVE-2009-0566
http://www.microsoft.com/france/technet/security/Bulletin/MS09-030.mspx

 

MS09-031 - Important - Une vulnérabilité dans Microsoft ISA Server 2006 pourrait entraîner une élévation de privilèges (970953)

Détails : Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Internet Security and Acceleration (ISA) Server 2006. Cette vulnérabilité pourrait permettre une élévation de privilèges si un attaquant parvenait à imiter un compte utilisateur avec privilèges d'administrateur sur une instance d'ISA Server configurée pour le mot de passe à usage unique d'authentification pour serveur RADIUS (OTP) et la délégation de l'authentification avec la délégation Kerberos contrainte.
Impact de sécurité maximal : Élévation de privilèges
Indice de gravité cumulée : Important
Indice d'exploitabilité : 1 - Possibilité de code d'exploitation fonctionnel
Produits touchés : Microsoft Internet Security and Acceleration Server 2006 et Microsoft Internet Security and Acceleration Server 2006 SP1
Référence CVE : CVE-2009-0566
http://www.microsoft.com/france/technet/security/Bulletin/MS09-031.mspx

 

MS09-032 - Critique - Mise à jour de sécurité cumulative pour les kill bits ActiveX (973346)

Détails : Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement actuellement exploitée. Cette vulnérabilité dans le contrôle ActiveX vidéo de Microsoft pourrait permettre l'exécution de code à distance si un utilisateur affichait une page Web spécialement conçue à l'aide d'Internet Explorer, tentant ainsi d'instancier le contrôle ActiveX. Ce contrôle ActiveX n'a pas été conçu pour être instancié dans Internet Explorer. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
Impact de sécurité maximal : Exécution de code à distance
Indice de gravité cumulée : Critique
Indice d'exploitabilité : 1 - Possibilité de code d'exploitation fonctionnel
Produits touchés : Windows 2000, Windows XP, Windows Server 2003, Windows Vista et Windows Server 2008. Installation Server Core de Windows Server 2008 n'est pas concerné par cette mise à jour.
Référence CVE : CVE-2008-0015
http://www.microsoft.com/france/technet/security/Bulletin/MS09-032.mspx

 

MS09-033 - Important - Une vulnérabilité dans Virtual PC et Virtual Server pourrait permettre une élévation de privilèges (969856)

Détails : Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Virtual PC et Microsoft Virtual Server. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire et prendre le contrôle intégral du système invité affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.
Impact de sécurité maximal : Élévation de privilèges
Indice de gravité cumulée : Important
Indice d'exploitabilité maximal : 3 - Faible possibilité de code d'exploitation fonctionnel
Produits touchés : Microsoft Virtual PC 2004, Microsoft Virtual PC 2007, Microsoft Virtual Server 2005
Référence CVE : CVE-2009-1542

http://www.microsoft.com/france/technet/security/Bulletin/MS09-033.mspx

Mesure suggérée

Le CCRIC recommande aux administrateurs de tester et d'installer ces mises à jour à la première occasion.

RÉFÉRENCES

http://www.microsoft.com/france/technet/security/Bulletin/MS09-jul.mspx

Note aux lecteurs

En appui à la mission de Sécurité publique Canada de bâtir un Canada sécuritaire et résilient, le mandat du CCRIC est d'aider à assurer la sécurité et la résilience des cybersystèmes essentiels non gouvernementaux à la base de la sécurité nationale, de la sécurité publique et de la prospérité économique du pays. À titre d'équipe d'intervention en cas d'incident lié à la sécurité informatique du Canada, le CCRIC agit comme centre national de coordination pour la prévention, l'atténuation, l'intervention et le rétablissement liés aux incidents cybernétiques commis contre des systèmes non fédéraux. Pour ce faire, il formule des conseils éclairés, offre du soutien et coordonne l'échange de renseignements ainsi que l'intervention.

S'il vous plaît noter que la clé PGP du CCRIC a récemment été mise à jour.
http://www.securitepublique.gc.ca/cnt/ntnl-scrt/cbr-scrt/_fl/CCIRCPublicPGPKey.txt

Pour obtenir des renseignements de nature générale, veuillez communiquer avec la division des Affaires publiques de l'organisme :

Téléphone : 613-944-4875 ou 1-800-830-3118  
Télécopieur : 613-998-9589 
Courriel : ps.communications-communications.sp@canada.ca

Date de modification :