1 – Mise à jour mensuelle de Microsoft

Le 10 octobre 2017, Microsoft a publié ses mises à jour mensuelles de sécurité. Soixante-quatre vulnérabilités ont été corrigées, parmi lesquelles vingt-neuf sont considérées critiques et trente-cinq sont considérées importantes. Les produits suivants sont affectés :

  • Internet Explorer ;
  • Microsoft Edge ;
  • Microsoft Windows ;
  • Microsoft Office et Services Microsoft Office et Microsoft Office Web Apps ;
  • Skype pour les entreprises et Lync ;
  • Chakra Core.

Navigateurs

Quatre vulnérabilités d’exécution de code à distance critiques sont corrigées dans Internet Explorer. Elles proviennent d’erreur de gestion de mémoire, soit de la part d’Internet Explorer, soit de son moteur de script. La vulnérabilité CVE-2017-11790 est une vulnérabilité de divulgation d’informations qui permet d’obtenir des renseignements sensibles, comme certaines adresses mémoire, facilitant la compromission d’une machine.

Quinze vulnérabilités d’exécution de code à distance critiques sont corrigées dans le moteur de script d’Edge. Deux vulnérabilités importantes de divulgation d’informations ont également reçu un correctif, dont la vulnérabilité CVE-2017-11790 qui est commune aux deux navigateurs de Microsoft.

Bureautique

Cette mise à jour corrige sept vulnérabilités dans Microsoft Office. Les vulnérabilités CVE-2017-11825 et CVE-2017-11826 permettent une exécution de code à distance à l’ouverture d’un fichier piégé. Le vulnérabilité CVE-2017-11826 a été rendue publique avant la sortie du correctif de sécurité.

Trois des vulnérabilités conduisent à une élévation de privilèges sur Microsoft SharePoint par le biais d’attaques de script inter-sites (cross-site scripting, XSS). A noter que la vulnérabilité CVE-2017-11777 a été publiée publiquement.

La vulnérabilité CVE-2017-11774 permet un contournement de la politique de sécurité dans Outlook. Une exploitation réussie donne la possibilité à un attaquant d’exécuter des commande arbitraires.

La vulnérabilité CVE-2017-11776 peut être exploitée pour obtenir le contenu des messages électroniques d’un utilisateur.

Windows

Trente et une vulnérabilités sont corrigées dans Windows. Dix d’entre elles permettent une exécution de code à distance, six sont jugées critiques et quatre sont importantes. Les composants impactés sont Windows Search, DNSAPI, Microsoft Graphics, Windows Shell, Microsoft Jet, TRIE et le serveur SMB.

Six vulnérabilités permettant d’élever ses privilèges sont également corrigées, notamment dans Win32k et Windows SMB.

Une vulnérabilité jugée critique permet le contournement de la politique de sécurité. Elle n’est pas identifiée par un numéro de CVE. Elle impacte les jeux de puces Trusted Platform Module (TPM), et permet de dégrader la robustesse des clés cryptographiques. Trois autres vulnérabilités de contournement de la politique de sécurité sont également corrigées.

Les autres vulnérabilités corrigées concernent des divulgations d’informations et des dénis de services. La vulnérabilité CVE-2017-8703 impacte le sous-système Linux de Windows et a été révélée publiquement.

Autre

Seize vulnérabilités critiques permettant une exécution de code à distance sont corrigées dans ChakraCore, l’un des moteurs de scripts utilisé par Edge.

La vulnérabilité CVE-2017-11786 permet une élévation de privilège dans Skype.

Correctif hors bande

Le 16 octobre 2017, Microsoft a publié un correctif relatif aux récentes découvertes de vulnérabilités dans le protocole WPA/WPA2 (cf. section documentation). Cette mise à jour publiée hors du cadre des correctifs mensuels adresse la vulnérabilité CVE-2017-13080 qui permet de porter atteinte à la confidentialité des communications Wi-Fi protégés par WPA/WPA2.

Recommandations

Le CERT-FR recommande l’application de ces correctifs de sécurité dès que possible.

Documentation

Rappel des avis émis

Dans la période du 09 au 15 octobre 2017, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :