War on the Network

C'est en cet harassant mardi 8 Janvier que Microsoft publie comme prévu ses correctifs mensuels.
Et le menu est assez surprenant puisque la vulnérabilité critique prévue dans le bulletin avancé de notification de jeudi n'est finalement pas la faille du WPAD.
En effet, malgré toute vraisemblance, c'est une autre vulnérabilité critique qui s'est vue affabulée d'un patch laissant notre vulnérabilité du Web Proxy Autodiscovery Protocol à nu depuis déjà plus d'un mois.

Mais passons à table :

• 2 vulnérabilités (MS08-001) dont une critique et une de niveau modérée concernant l'implantation du protocole TCP/IP dans Windows.
  
  La première vulnérabilité touche Windows XP et Vista où elle est qualifiée de critique et Server 2003 où elle tombe au niveau important.
  Celle-ci se situe dans la gestion des requêtes IGMPv3 et MLPv2 par le noyau Windows et peut permettre l'exécution de code arbitraire à la réception de requête de ce type spécialement malformée.
  
  La seconde faille affecte toutes les éditions supportées de Windows, mis à part Vista, et permet un dénial of service à la réception d'une requête ICMP spécialement fragmentée.
  
  
  
• 1 vulnérabilité importante (MS08-002) présente sous Windows 2000, XP et Server 2003 permet l'élévation des privilèges d'un utilisateur local via l'exécution d'un programme lançant une requête Local Procedure Call (LPC) spécialement malformée.
  

Et ... c'est tout. Rien de plus à se mettre sous la dent ce soir, mais nous nous reverrons le 7 février pour le prochain bulletin avancé de notification et le 12 pour la livraison des rustines avec, on l'espère, une qui comblera la vulnérabilité du WPAD.

Consulter le synthèse des bulletins de Microsoft du mois de Janvier

C'est en ce frileux début de l'avant dernier mois de l'année 2007 que Microsoft nous gratifie de son habituel bulletin avancé de notification des mises à jour sécuritaires qui seront publiées le mardi suivant, second mardi du mois.

Ce mois-ci ce sont uniquement deux correctifs qui sont annoncés par la firme en plus de l'habituel outil de suppression des logiciels malveillants.

Au menu :

• 1 correctif venant à bout d'au moins une vulnérabilité critique dans Windows XP et Server 2003. Ce correctif est très certainement dédié à la faille dans la gestion des URI dont je vous faisais écho dans ce post.
  

• 1 correctif s'attaquant à au moins une vulnérabilité de niveau important permettant un spoofing sous Windows 2000 et Server 2003.
  

C'est donc un Patch Tuesday particulièrement maigre qui nous attend selon toute vraisemblance et à moins d'un revirement de situation.
Rendez-vous donc Mardi 13 Novembre pour confirmer et découvrir le détail de tout cela.

Consulter le bulletin avancé de notification de Novembre