Patch Tuesday : Microsoft corrige une faille critique touchant toutes les versions de Windows
Pouvant entraîner l'exécution du code distant

Le , par Hinault Romaric

21PARTAGES

2  0 
Comme il est de coutume tous les seconds mardis du mois, Microsoft a publié son Patch Tuesday, qui regroupe un ensemble de correctifs de sécurité pour ses systèmes d’exploitation Windows et ses principaux logiciels

Le Patch Tuesday pour le mois de novembre est un patch record. Il s’agit du plus grand paquet de mises à jour de sécurité pour 2014. Il apporte 14 mises à jour de sécurité pour corriger près de 33 failles dans Windows, Internet Explorer et Office. Microsoft avait initialement annoncé 16 mises à jour, mais deux ont été reportées.

Le Patch Tuesday de novembre contient 4 bulletins de sécurité marqués critiques. La mise à jour MS14-066 est la plus importante. Elle apporte des correctifs à une faille aux conséquences désastreuses. La faille touche toutes les versions de Windows encore supportées (allant de Windows Vista à Windows 8.1) et peut être exploitée pour exécuter du code distant. La faille se trouve au niveau du composant Schannel, qui est la couche qui gère le chiffrement et l’authentification sur Windows, particulièrement pour les applications HTTP.

Un exploit réussi permet à un pirate d’exécuter du code sur un serveur Windows avec des droits d’administrateurs. Microsoft affirme n’avoir découvert aucune preuve de son exploitation. La firme conseille d’appliquer dans les plus brefs délais cette mise à jour.

À chaque patch, Internet Explorer a droit à son lot de correctifs. Ce Patch Tuesday ne déroge pas à cette règle. La mise à jour MS14-066 apporte des correctifs pour 17 failles dans le navigateur, dont six sont étiquetées critiques. Toutes les versions du navigateur de Microsoft sont concernées.

En ce qui concerne Office, des vulnérabilités dans Word 2007 SP3 permettant l’exécution de code distant en utilisant des fichiers spécialement conçus, ont été corrigées par la mise à jour MS14-069.

Microsoft a également corrigé une vulnérabilité dans le Framework .NET (MS14-072) permettant une élévation de privilèges. Toutes les versions de Windows sont affectées.

Dans la mise à jour de ce mois, on retrouve également des correctifs pour IIS (Internet Information Services), Active Directory et dans le pilote Kernel Mode.

Le Patch Tuesday est appliqué automatiquement via Windows Update, pour ceux qui ont activé la fonctionnalité.

Source : Microsoft

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de JayGr
Membre actif https://www.developpez.com
Le 12/11/2014 à 13:57
Citation Envoyé par Hinault Romaric Voir le message
Patch Tuesday : Microsoft corrige une faille critique touchant toutes les versions de Windows
pouvant entraîner l’exécution du code distant

Un exploit réussi permet à un pirate d’exécuter du code sur un serveur Windows avec des droits d’administrateurs. Microsoft affirme n’avoir découvert aucune preuve de son exploitation. La firme conseille d’appliquer dans les plus brefs délais cette mise à jour.

Source : Microsoft
Je ne sais plus qui demandais quel était l'intérêt de ce genre de news. Et bien il est là.
Exploit ultra critique... A patcher d'urgence.

@+
Avatar de earhater
Membre confirmé https://www.developpez.com
Le 12/11/2014 à 17:29
@JayGr: c(était moi, je comprends mieux maintenant. Par contre je me suis toujours demandé comment ils pouvaient savoir si une faille avait déja été exploitée ou non ?
Avatar de sevyc64
Modérateur https://www.developpez.com
Le 12/11/2014 à 20:20
toutes activité sur internet laisse des traces, des sortes de signatures. De plus, Microsoft est très certainement en contact d'une manière ou d'une autre avec toute sorte d'organismes analysant la sécurité informatique, à commencer par les éditeurs d'antivirus.

Donc si de potentielles signatures d'activités attribuables à cette faille n'ont pas encore été repéré sur Internet, si aucune des activités suspectes repérés par les analystes ne sont clairement attribuables à cette faille, ça permet de dire à Microsoft que cette faille n'a, à priori (restons prudent), pas encore été exploitée.

Cela ne signifie pas forcément 0 exploits, mais tout au moins un nombre inférieur (et donc forcément faible) au seuil qui permettrait à cette exploitation d'apparaitre au dessus du bruit ambiant.
Avatar de GHetfield
Nouveau Candidat au Club https://www.developpez.com
Le 12/11/2014 à 20:29
SAMBA égale donc largement l'AD. (Enfin peut être pas encore tout à fait mais c'est prévu dans les prochaines releases)
Tu le dis tois meme que c'est pas la meme chose. Si je ne me trompe SAmba 4 n'a rien de comparable au module ADFS ou a la securité OAuth2. Et un DC ca ne se virtualise pas n'importe comment. Mais t'es pas obliger de me croire. C'est pas parce-que t'as jamais eu de problèmes que tu suis les bonnes pratiques en production.

Mais vu que t'es un Fan du libre c'est que c'est tois qui a la bonne solutions...
Avatar de lecbee
Membre du Club https://www.developpez.com
Le 12/11/2014 à 21:08
Citation Envoyé par GHetfield Voir le message
Et un DC ca ne se virtualise pas n'importe comment. Mais t'es pas obliger de me croire. C'est pas parce-que t'as jamais eu de problèmes que tu suis les bonnes pratiques en production.
Le lien que tu nous as indiqué ne dit pas qu'il ne faut pas virtualisé un DC, mais qu'il y a des fonctionnalités à ne pas utiliser.
Ça se résume à :

- un rollback de snapshot, un backup de système de fichiers et enfin un clone de VM. Ben déjà ces 3 actions reviennent au même finalement. Et ça parait évident que revenir sur une sauvegarde/snapshot antérieur d'une machine ça peut foutre la merde. C’est peut-être d'autant plus vrai pour un DC, mais c'est probablement vrai aussi pour d'autres types de serveur, genre DNS, DHCP, base de données, etc. Et puis ces 3 fonctionnalités ne sont pas l'exclusivité de la virtualisation. On peut très bien faire un snapshot sur une machine physique.

- et enfin ne pas mettre un DC sur une machine trop occupée sinon le temps (NTP) risque d'être trop décalé et provoquer des problèmes. La marge de tolérance par défaut du DC est de 5 minutes, ce qui me parait déjà énorme !!! Le jour où j'ai un serveur qui est tellement occupé qu'il n'arrive plus à mettre son horloge à jour, ben je revoie mon archi réseau et j'achète de nouveaux serveurs !

PS : une faille de sécurité dans l’implémentation SSL de Windows vient d'être découverte. Elle est présente dans Windows depuis 7 ans et demi. Presque aussi bien qu'OpenSSL
Avatar de JayGr
Membre actif https://www.developpez.com
Le 12/11/2014 à 21:20
Citation Envoyé par sevyc64 Voir le message
toutes activité sur internet laisse des traces, des sortes de signatures. De plus, Microsoft est très certainement en contact d'une manière ou d'une autre avec toute sorte d'organismes analysant la sécurité informatique, à commencer par les éditeurs d'antivirus.

Donc si de potentielles signatures d'activités attribuables à cette faille n'ont pas encore été repéré sur Internet, si aucune des activités suspectes repérés par les analystes ne sont clairement attribuables à cette faille, ça permet de dire à Microsoft que cette faille n'a, à priori (restons prudent), pas encore été exploitée.

Cela ne signifie pas forcément 0 exploits, mais tout au moins un nombre inférieur (et donc forcément faible) au seuil qui permettrait à cette exploitation d'apparaitre au dessus du bruit ambiant.
Voilà ! Tu as tout dit !
A noter que Symantec (ou autres éditeurs) dispose de moyens d'analyse assez impressionnant qui permette de découvrir un nombre impressionnant de virus, malware, exploits par jour.
C'est d'ailleurs eux qui avait découvert Stux si je me souviens bien.

Tout ça pour dire qu'il faut patcher vos systèmes. Parce que même si ça n'a pas été exploités, dites vous que depuis hier...

@+
Avatar de GHetfield
Nouveau Candidat au Club https://www.developpez.com
Le 12/11/2014 à 21:43
Le lien que tu nous as indiqué ne dit pas qu'il ne faut pas virtualisé un DC, mais qu'il y a des fonctionnalités à ne pas utiliser.
Il n'y a évidement pas que ce lien d’où j'ai appris ca. Mais je ne garde pas tous les documents que je lis au cas ou les membre de dvp.com ne me croient pas. Et je n'enregistre pas toute mes conversation avec les consultants que je fréquente pour vous prouver quoi que ce soit. Un DC ca ne se virtualise pas en production. Sous Windows uniquement depuis Hyper-v 3 et un DC W2012. Maintenant si vous ne me croyez pas c'est a vous de voir.

Et Samba n'a PAS les même fonctionnalités/possibilités qu'un DC Windows. Les DC Windows sont beaucoup plus avancé. Mais vous n'avez pas besoin de me croire. Ça ne vas pas me changer la vie ne vous inquiétez pas
Avatar de lecbee
Membre du Club https://www.developpez.com
Le 12/11/2014 à 21:56
Ah mais que Samba 4 n'égale pas l'AD Microsoft, ça j'en suis sûr aussi ! Mais y'a pas que les fonctionnalités qui rentre en jeu pour moi.
Avatar de GHetfield
Nouveau Candidat au Club https://www.developpez.com
Le 16/11/2014 à 17:23
Mais y'a pas que les fonctionnalités qui rentre en jeu pour moi
Oui ca on avait compris. Pour toi si c'est Microsoft qui l'a développé c'est que c'est de la me**e. Ca veux tous dire....

T'es fort fermé pour un fan du libre... Tu vois l'hypocrisie ??

Au fait t'as vu que .Net est libre maintenant ? Librairie, clr, runtime et tous... Mais tu vas encore trouve une excuse pour dire que c'est de la me**de Vive l'objectivité.
Avatar de Neckara
Expert éminent sénior https://www.developpez.com
Le 16/11/2014 à 17:45
Citation Envoyé par GHetfield Voir le message
Au fait t'as vu que .Net est libre maintenant ? Librairie, clr, runtime et tous... Mais tu vas encore trouve une excuse pour dire que c'est de la me**de Vive l'objectivité.
Tiens... t'as l'air de bien aimer .NET, pourtant maintenant que le code est "ouvert", les failles sont publiques et tout et tout.
Étrange qu'une grande entreprise comme Microsoft ai commis une aussi grave erreur de sécurité .

Tu vois l'hypocrisie ??
Comme dans chacun de tes messages, oui on le voit très bien.

Les fonctionnalités et le fait qu'un logiciel soit libre ou non, ne sont pas les seules choses qu'on regarde lorsqu'on choisit un logiciel.
Mais bon, dès qu'on est pas d'accord avec toi, on est un "fanboy du libre".

D'ailleurs pour ta gouverne, certaines applications de carte à puces ont un code "ouvert" de même que certains protocoles.
Tsss... les banques qui sont pourtant dans un domaine où la sécurité est critique... et avec les cartes à puces en plus !
Va falloir que tu rendes ta CB et que tu retourne au chéquier pour plus de sécurité.
Contacter le responsable de la rubrique Accueil

Partenaire : Hébergement Web