Patch Tuesday : Microsoft fait la peau aux failles Internet Explorer

Microsoft vient de publier son dernier Patch Tuesday de l’année. Il délivre 6 bulletins de sécurité chargés de combler douze vulnérabilités touchant Internet Explorer, Windows et Office.

La principale mise à jour qualifiée de « critique » à effectuer corrige cinq vulnérabilités affectant Internet Explorer, dont la fameuse faille Zero-Day, révélée à la mi-novembre, qui pouvait permettre l’exécution de codes malveillants à distance via une page Web piégée à partir des versions 6 et 7 du navigateur de Microsoft.

Dans ca cadre, les moutures Internet Explorer 6, 7 et 8, disponible notamment sous Windows 7, sont concernées par ce bulletin de sécurité.

Trois autres mises à jour concernent le système Windows. Un bulletin de sécurité « critique » offre de combler deux failles sous Windows, pouvant également permettre l’exécution de code à distance si les messages reçus par le serveur du service d’authentification sont mal copiés dans la mémoire lors de l’analyse des tentatives d’authentification PEAP.

Un bulletin « important » patche deux vulnérabilités sous Windows qui pouvaient offrir la possibilité à un hacker de prendre le contrôle du système en envoyant une requête HTTP piégée à un serveur Web avec  l’ADFS (Active Directory Federation Service) activé.

Concernant Office, deux mises à jour sont à signaler. La première, critique, corrige une vulnérabilité dans Office Projet ouvrant la voie à l’exécution de code malveillant à distance en cas d’ouverture d’un fichier Projet piégé.

Un dernier bulletin comble une faille dans Office qui permettait là encore l’exécution de code à distance si un utilisateur choisissait d’ouvrir un document Word 97 piégé  dans WordPad ou Office Word.

Au cours de l’année 2009, Microsoft a publié, en tout, 74 mises à jour de sécurité, contre 78 en 2008.