Sept défauts dont cinq critiques chez Microsoft

C'est un "patch day" relativement faste que celui de cette semaine, avec sept failles annoncées et corrigées par Microsoft. Cinq de ces accidents logiciels sont critiques et exigent "l'application immédiate du correctif" précise l'éditeur.

Dans le flot des alertes, on trouve même un B.O. "critique" - référencé MS03-043 - concernant le service Messenger (net send). Ce même service d'alerte qui, il n'y a pas si longtemps, était considéré comme fiable et inoffensif, malgré l'usage contre nature que pouvaient en faire certains spammeurs utilisant cette antiquité protocolaire pour afficher des "pop up" publicitaires.

Remarquons au passage que le service en question, code fossile hérité d'OS/2, n'est plus "monté" par défaut sous 2003 Server. La tendance actuelle consiste donc à désactiver ledit programme (via la MMC des services).

La faille MS03-044, une fois n'est pas coutume, est considérée comme peu dommageable sur les "anciennes" plates-formes, mais "critique" sous XP et 2003 Server. Elle affecte le "Help and Support Center" et repose directement sur le protocole HCP. Un exploit, estime l'équipe sécurité de Microsoft, est tout à fait possible en utilisant un site Web "leurrant" l'usager.

Encore un risque de pseudo Web d'attaque avec la MS03-042, qui touche un contrôle ActiveX. Comme dans bien des cas, MS met aux rangs des « mitigating factors » le fait que le code exécutable à distance ne peut bénéficier que du privilège de l'usager. Or, par défaut, l'utilisateur-installateur des XP actuellement commercialisés ont droit d'administration.

La série continue avec la MS03-041. Dans certaines conditions de pénurie de mémoire libre, le mécanisme Authenticode laisse agir un contrôle ActiveX de téléchargement et d'exécution de code sans alerter le moins du monde l'utilisateur du système. La traditionnelle fenêtre d'approbation ne s'affiche plus.

Les autres trous de sécurités concernent moins directement le noyau : une élévation de privilège exploitable uniquement en "logon interactif" signalé par l'alerte MS03-045, et deux problèmes liés aux outils de messagerie, l'un touchant l'OWA d'Exchange 5.5 et qui permettrait une attaque en cross-scripting (alerte MS03-047), et l'autre affectant les serveurs Exchange 5.5 (SP4) et 2000 (SP3). Une requête forgée sur le port smtp peut, sous Exchange 5.5, provoquer un écroulement de la mémoire et une interruption de service (DoS), attaque pouvant être plus sophistiquée face à un Exchange 2000 puisque pouvant conduire à une saturation de tampon, laquelle autoriserait à son tour l'exécution d'un code à distance.