mars 22nd, 2017

16, 17… 18 bulletins dont 5 qualifiés de « critique », pour un record absolu de 140 CVE : ce « mardi des rustines » décalé d’une semaine est l’un des plus fournis de la saga Windows. Avec notamment 5 failles critiques affectant le partage SMB (correctif MS17-010 ) et un défaut dans les composants graphiques MS (risque d’exploitation via une image forgée, MS17-013 ).
Mention spéciale du jury pour la MS17-008, qui comble 11 problèmes dans HyperV, dont une fuite depuis une VM pouvant nuire au système hôte.
En bas de colonne, le bulletin du MSDC prévient de la disponibilité de l’habituel correctif Adobe et de ses 7 CVE liés au très peu indispensable Flash Player. Ce même Adobe prévient également de la présence de quelques défauts corrigés dans Shockwave. Un seul CVE éliminé bloquant une possible élévation de privilèges.

La question que se posait CNIS MAG la semaine passée semble frapper à son tour la presse anglo-saxonne : mais pourquoi diable Wikileaks tarde à communiquer aux différents éditeurs les sources des exploits et autres PoC soi-disant contenus dans les fichiers fuités de la CIA ?

« Oui, quand donc » demande Graham Clueley, tandis que Chris Goettl (Sté Ivanti), renchérit dans les colonnes du HNS par un « pas de patch Tuesday Microsoft ce mois-ci, mais énorme « trou Friday » grâce à la CIA » … ce qui nous promet une collection de printemps riche en rustines tant du côté des éditeurs d’antivirus que d’outils bureautiques populaires » précise-t-il en substance. Michael Heller, TechTarget, rapporte la réaction (plutôt tardive) de Julian Assange, qui promet aux entreprises du monde logiciel un accès à ces données critiques. Notre confrère ajoute que le FBI et la CIA vont se plonger dans une chasse aux fauteurs de fuite. Le contraire eut été étonnant, mais les conclusions d’une telle enquête risquent fort de ne jamais être rendues publiques. Heller a d’ailleurs rédigé un tout autre article reprenant notamment les Tweets inquiets de plusieurs personnalités du monde de la sécurité, réclamant à Wikileaks une divulgation salvatrice.