S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 août 2010
N° CERTA-2010-ACT-032
Affaire suivie par: CERT-FR
le 13 août 2010

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité 2010-32

Gestion du document

Référence CERTA-2010-ACT-032
Titre Bulletin d’actualité 2010-32
Date de la première version 13 août 2010
Date de la dernière version 13 août 2010
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Mise à jour de sécurité mensuelle de Microsoft

Microsoft a publié 14 bulletins de sécurité pour le mois d’août 2010. Ces mises à jour de sécurité couvrent toutes les versions de Windows et corrigent des vulnérabilités dont les plus critiques permettant d’exécuter du code arbitraire à distance sans action de l’utilisateur ou encore d’élever ses privilèges.

Parmi les vulnérabilités corrigées, on peut citer les avis CERTA-2010-AVI-363 et CERTA-2010-AVI-364 qui portent sur des vulnérabilités dans le noyau ou des pilotes en mode noyau qui peuvent être exploitées afin de réaliser une élevation de privilèges.

Les avis CERTA-2010-AVI-367 et CERTA-2010-AVI-369 couvrent des vulnérabilités présentes dans Internet Explorer ou exploitable via le navigateur. Ainsi, une personne malveillante peut exécuter du code arbitraire à distance, notamment au moyen d’un fichier au format HTML spécialement construit.

L’avis CERTA-2010-AVI-370 sera le dernier cité dans cet article. Il porte sur une vulnérabilité dans le serveur SMB de Windows qui permet à un utilisateur distant non-authentifié d’exécuter du code arbitraire. Cette vulnérabilité rappelle celle décrite dans le bulletin de sécurité Microsoft MS08-067 du 11 novembre 2008 largement exploitée par le code malveillant Conficker.

L’application de ces correctifs est donc impérative pour élever le niveau de sécurité des systèmes d’information fonctionnant sous Windows.

2 «Patch tuesday», Adobe également

Si le mardi 11 août 2010 était attendu pour les correctifs Microsoft, il était également l’occasion pour l’éditeur Adobe de publier des correctifs de sécurité, repris dans trois avis du CERTA (voir documentation).

Le CERTA attire l’attention sur deux points :

  • la vulnérabilité CVE-2010-2862 affectant Adobe Reader et Acrobat, liée aux police de caractères, et traitée dans l’alerte CERTA-2010-ALE-012, n’est toujours pas corrigée à l’heure de la rédaction de cet article ;
  • concernant Flash Media Player, tous les greffons des différents navigateurs utilisés sur l’ordinateur doivent être mis à jour, manuellement si besoin.

2.1 Documentation

3 Mise à jour de sécurité importante pour l’Apple iOS

Dans le bulletin d’actualité de la semaine dernière, nous avions mentionné des deux failles de sécurité activement utilisées pour réaliser le Jailbreak de l’Apple iOS à distance, l’une permettant de s’introduire dans le système par le biais d’un document au format PDF spécialement construit et l’autre permettant d’élever ses privilèges. Comme nous l’avions écrit, ces vulnérabilités sont critiques et pourraient être exploitées par des codes malveillants (voir l’alerte CERTA-2010-ALE-011).

Apple a corrigé cette semaine ces deux vulnérabilités, l’avis du CERTA correspondant est référencé CERTA-2010-AVI-380. Le CERTA recommande vivement de mettre à jour les appareils fonctionant sous iOS. Cette mise à jour est manuelle, et peut être faite par le biais d’un ordinateur équipé du logiciel iTunes.

Rappel des avis émis

Dans la période du 02 au 08 août 2010, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

    le 13 août 2010
    version initiale.