juillet 11th, 2012

Alors que certains journaux titraient en promettant un « petit » patch Tuesday, Microsoft rappelle que la période estivale n’est pas un moment où l’on doit faire relâche. 16 CVE, dont un Zero day exploité dans la nature, et un cri d’alarme demandant aux usagers de Vista et Seven de ne surtout plus utiliser la barre d’outils et ses fameux « gadgets » associés. Des gadgets, ou plugins, que l’on peut interpréter comme une première approche aux appliquettes destinées au marché des appareils mobiles : un code léger, des fonctions réduites… et un modèle de sécurité du système de diffusion desdites appliquettes pas franchement étudié pour résister aux hordes de barbares numériques. Bref, les « apps » sous toutes leurs formes représentent un danger potentiel, y compris sur les noyaux destinés aux stations de travail. Un napalmiseur de Gadgets est donc offert aux administrateurs sous forme d’outils « FixIt ». Couper la fonction toute entière plutôt que de fermer la porte à un exploit connu montre à quel point le principe même des Gadgets était entaché d’erreurs de conception. Le traditionnel billet sur le blog du MSRC ne précise toutefois pas comment ces instabilités pourraient être exploitées

Le ZDE bouchonné, quant à lui, est un défaut des services XML exploité (aux deux sens du terme) depuis déjà un certain temps, et que l’on retrouve notamment dans l’automate de ponte de virus BlackHole. L’application du correctif ms12-043 est donc une nécessité pressante. Egalement au menu de ce mois deux failles ou séries de failles considérées comme sévères, l’une concernant Mdac, l’autre appartenant à la famille plus que nombreuse des trous Internet Explorer. La liste de tous les bouchons disponibles est détaillée dans le bulletin mensuel de ce mois.

Ajoutons enfin l’annonce d’un grand nettoyage d’été prévu dans le courant du mois d’août. Le bulletin d’alerte 2728973 explique que dans une trentaine de jours, la totalité des clefs RSA de moins de 1024 bits sera bloquées dans toutes les installations Windows.